Die ontwikkelaars van die PHP-projek het die ontdekking van nog 'n kwesbaarheid (CVE-2026-115560) aangekondig, wat moontlik uitgebuit kan word vir die uitvoering van afstandkode op die bediener onder 'n sekere, seldsame kombinasie van nie-standaardinstellings en uitgevoerde PHP-kode. Hulle beoog om besonderhede van die kwesbaarheid te publiseer sodra die volgende PHP-opdateringsvrystellings gereed is.
As 'n tydelike oplossing word dit aanbeveel om die parameter "session.upload_progress.enabled=0" in php.ini te stel, wat ook aanbeveel is as een van die maatreëls om 'n vorige kritieke kwesbaarheid te blokkeer. Die probleem kom voor wanneer die parameter "session.serialize_handler" in die instellings op "php_binary" of "php_serialize" gestel is en hierdie parameter in PHP-kode na "php" verander word via die "ini_set()"-funksie voordat die session_start()-funksie geroep word.
Bron: opennet.ru
