Още една уязвимост в PHP, в редки конфигурации позволяваща дистанционно изпълнение на код

Разработчиците на проекта PHP предупредиха за нова уязвимост (CVE-2026-115560), която потенциално може да се използва за отдалечено изпълнение на код на сървъра при определено рядко съчетание на нестандартни настройки (не в конфигурацията по подразбиране) и изпълняван PHP код. Подробности за уязвимостта ще бъдат публикувани след готовността на следващите коригиращи издания на PHP.

Като заобиколно решение за защита се препоръчва да се зададе параметърът 'session.upload_progress.enabled=0' в php.ini, който също беше препоръчан като една от мерките за блокиране на предишната критична уязвимост. Проблемът се проявява, когато в настройките параметърът 'session.serialize_handler' е зададен на 'php_binary' или 'php_serialize', а този параметър в PHP кода се променя на 'php' чрез функцията 'ini_set()' преди извикването на функцията session_start().

Източник: opennet.ru