Die Entwickler des PHP-Projekts haben vor einer weiteren Schwachstelle (CVE-2026-115560) gewarnt, die potenziell für die Remote-Ausführung von Code auf dem Server verwendet werden kann, bei einer bestimmten, seltenen Kombination aus nicht standardmäßigen Einstellungen (nicht in der Standardkonfiguration) und ausgeführtem PHP-Code. Details zur Schwachstelle werden veröffentlicht, sobald die nächsten Korrekturversionen von PHP bereit sind.
Als Workaround wird empfohlen, im php.ini-Parameter «session.upload_progress.enabled=0» festzulegen, was auch als eine der Maßnahmen empfohlen wurde, um die zuletzt aufgetretene kritische Schwachstelle zu blockieren. Das Problem tritt auf, wenn im Einstellungsparameter «session.serialize_handler» der Wert «php_binary» oder «php_serialize» festgelegt ist und dieser Parameter im PHP-Code über die Funktion «ini_set()» vor dem Aufruf der Funktion session_start() auf den Wert «php» geändert wird.
Quelle: opennet.ru
