PHP раскрыла новую RCE-уязвимость и предложила временную защиту

Проект PHP предупредил о новой уязвимости удалённого выполнения кода CVE-2026-115560. Сообщение опубликовано 23 октября, через два дня после экстренного исправления критических PHP2Shell — CVE-2026-109618 и CVE-2026-109619 — в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Новый дефект является отдельной проблемой и этими обновлениями не закрывается.

PHP не планирует выпускать для CVE-2026-115560 экстренный патч. Команда считает сценарий маловероятным и рекомендует до очередного регулярного релиза отключить отслеживание прогресса загрузки файлов одной настройкой: session.upload_progress.enabled=0.

Какая конфигурация создаёт риск

Уязвимость проявляется только при одновременном выполнении нескольких условий. В конфигурации приложения параметр session.serialize_handler должен быть установлен в php_binary или php_serialize, а затем во время работы приложения изменён на php вызовом ini_set().

Это изменение должно произойти до вызова session_start(). Кроме того, функция session upload progress должна оставаться включённой. Она активна по умолчанию и используется приложениями для отслеживания хода загрузки файла.

Приложение, которое не меняет обработчик сериализации сессии в процессе выполнения, может продолжать использовать эту функцию без описанного пути атаки. PHP отдельно отмечает, что такая комбинация настроек встречается нечасто.

Связь с экстренными обновлениями PHP2Shell

21 октября PHP выпустил экстренные обновления для CVE-2026-109618 и CVE-2026-109619. Эти критические уязвимости позволяли неаутентифицированному атакующему выполнить код на сервере. Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Отключение session.upload_progress.enabled уже указывалось как мера снижения риска для CVE-2026-109619. Организации, которые применили эту настройку после предупреждения от 21 октября и сохранили её, не должны предпринимать дополнительные действия именно для CVE-2026-115560.

Что известно о выпуске исправления

PHP намерена опубликовать полное уведомление по CVE-2026-115560 вместе со следующим регулярным релизом. Проект пока не назвал затронутые версии, версии с исправлением и оценку серьёзности. Также не сообщалось, имеет ли дефект общую первопричину с CVE-2026-109619.

Сведений об эксплуатации CVE-2026-115560 нет. Зафиксированные после 21 октября атаки направлены на две прежние уязвимости PHP2Shell. Для бизнеса практический шаг состоит в проверке использования ini_set() для обработчика сериализации сессий и в отключении progress-функции до выхода штатного обновления, если такая проверка не может быстро исключить описанную конфигурацию.