أعلن مطورو مشروع PHP عن اكتشاف ثغرة أمنية جديدة (CVE-2026-115560)، والتي يُحتمل استغلالها لتنفيذ تعليمات برمجية عن بُعد على الخادم في ظل ظروف نادرة ومحددة، تتضمن مزيجًا من الإعدادات غير الافتراضية وتعليمات PHP البرمجية. ويعتزمون نشر تفاصيل هذه الثغرة فور صدور التحديثات التصحيحية القادمة لـ PHP.
كحل بديل، يُنصح بتعيين المعامل "session.upload_progress.enabled=0" في ملف php.ini، وهو ما تم التوصية به سابقًا كأحد الإجراءات لسدّ ثغرة أمنية خطيرة. تحدث المشكلة عندما يتم تعيين المعامل "session.serialize_handler" إلى "php_binary" أو "php_serialize" في الإعدادات، ثم يتم تغيير هذا المعامل في كود PHP إلى "php" باستخدام الدالة "ini_set()" قبل استدعاء الدالة session_start().
المصدر: opennet.ru
