PHP upozorava na zaseban RCE rizik posle PHP2Shell zakrpa
PHP je 23. oktobra objavio informativno upozorenje za CVE-2026-115560, zaseban mogući put do izvršavanja koda na veb serveru, samo dva dana pošto su hitno zakrpljene kritične PHP2Shell ranjivosti CVE-2026-109618 i CVE-2026-109619. Ranije mane otklonjene su izdanjima PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, ali nova ranjivost nije popravljena tim verzijama.
Projekat PHP ovu konfiguraciju ocenjuje kao malo verovatnu u praksi i zato ne objavljuje vanrednu zakrpu. Umesto toga, preporuka je da se do narednog redovnog izdanja sa ispravkom isključi funkcija praćenja napretka otpremanja datoteka.
Rizik zahteva specifičan sled podešavanja
CVE-2026-115560 pogađa samo aplikacije sa neuobičajenom kombinacijom konfiguracije i promene podešavanja tokom izvršavanja. Aplikacija najpre mora da koristi vrednost php_binary ili php_serialize za opciju session.serialize_handler, a zatim tu opciju mora da promeni u php pozivom ini_set().
Ta promena mora da se dogodi pre poziva session_start(), dok funkcija session upload progress ostaje uključena. Ako aplikacija ne menja rukovalac serijalizacijom tokom rada, može ostaviti uključeno praćenje napretka otpremanja i nije izložena ovim putem.
Session upload progress je podrazumevano uključen i aplikaciji omogućava praćenje napretka slanja datoteke. Upravo zbog uskog skupa uslova PHP problem obrađuje u redovnom ciklusu izdanja, a potpun savet za CVE-2026-115560 treba da prati narednu objavu.
Preporučena privremena kontrola
Privremena mera sastoji se od jednog podešavanja: session.upload_progress.enabled=0. Ista vrednost bila je navedena kao ublažavanje rizika u upozorenju od 21. oktobra za CVE-2026-109619. Organizacije koje su je tada primenile i zadržale ne moraju uvoditi dodatnu meru za novi problem.
PHP nije objavio koje su verzije pogođene, koja će izdanja sadržati ispravku niti ocenu ozbiljnosti. Nije potvrđeno ni da li CVE-2026-115560 deli osnovni uzrok sa CVE-2026-109619. Do objave upozorenja nije prijavljena eksploatacija nove ranjivosti; napadi zabeleženi od 21. oktobra usmereni su na dve starije PHP2Shell mane.
Šta proveriti u poslovnim aplikacijama
Timovi treba da provere produkcione konfiguracije i kod koji menja session.serialize_handler, naročito pre pokretanja sesije. Odvojeno treba potvrditi da su PHP2Shell zakrpe primenjene u podržanim granama, jer ažuriranje na pomenuta izdanja ne rešava CVE-2026-115560.
Praktičan zaključak je da se privremeno isključi session upload progress tamo gde nema poslovne potrebe za tom funkcijom, dokumentuje izuzetak gde je funkcija neophodna i prati naredno redovno PHP izdanje radi trajne ispravke.