PHP-projektets udviklere har advaret om en ny sårbarhed (CVE-2026-115560), som potentielt kan bruges til eksternt at udføre kode på serveren under en bestemt sjælden kombination af atypiske indstillinger (ikke i standardkonfigurationen) og udført PHP-kode. Der vil blive offentliggjort flere detaljer om sårbarheden, når de næste opdateringer af PHP er klar.
Som en midlertidig beskyttelse anbefales det at sætte parameteren «session.upload_progress.enabled=0» i php.ini, hvilket også blev anbefalet som en af foranstaltningerne til at blokere for den tidligere kritiske sårbarhed. Problemet opstår, når indstillingen «session.serialize_handler» er sat til «php_binary» eller «php_serialize», og denne parameter ændres i PHP-koden til «php» via funktionen «ini_set()» før funktionen session_start() kaldes.
Kilde: opennet.ru
