Vývojáři projektu PHP varovali před objevením další zranitelnosti (CVE-2026-115560), která může potenciálně být využita k vzdálenému spuštění kódu na serveru při určitém vzácném souboru nestandardních nastavení (ne v nastavení podle defaultu) a prováděném PHP kódu. Podrobnosti o zranitelnosti budou publikovány po připravenosti dalších opravních verzí PHP.
Jako obcházející ochranné opatření se doporučuje nastavit v php.ini parametr „session.upload_progress.enabled=0“, který byl také doporučen jako jedna z metod blokování předchozí kritické zranitelnosti. Problém se projevuje při nastavení parametru „session.serialize_handler“ na hodnotu „php_binary“ nebo „php_serialize“ a jeho změně v PHP kódu na hodnotu „php“ prostřednictvím funkce „ini_set()“ ještě před voláním funkce session_start().
Zdroj: opennet.ru
