Οι προγραμματιστές του έργου PHP ανακοίνωσαν την ανακάλυψη μιας ακόμη ευπάθειας (CVE-2026-115560), η οποία θα μπορούσε ενδεχομένως να αξιοποιηθεί για απομακρυσμένη εκτέλεση κώδικα στον διακομιστή υπό έναν συγκεκριμένο, σπάνιο συνδυασμό μη προεπιλεγμένων ρυθμίσεων και εκτελεσμένου κώδικα PHP. Σκοπεύουν να δημοσιεύσουν λεπτομέρειες σχετικά με την ευπάθεια μόλις είναι έτοιμες οι επόμενες εκδόσεις ενημέρωσης κώδικα PHP.
Ως λύση, συνιστάται να ορίσετε την παράμετρο "session.upload_progress.enabled=0" στο php.ini, η οποία είχε επίσης προταθεί ως ένα από τα μέτρα για τον αποκλεισμό μιας προηγούμενης κρίσιμης ευπάθειας. Το πρόβλημα παρουσιάζεται όταν η παράμετρος "session.serialize_handler" έχει οριστεί σε "php_binary" ή "php_serialize" στις ρυθμίσεις και αυτή η παράμετρος αλλάζει στον κώδικα PHP σε "php" μέσω της συνάρτησης "ini_set()" πριν από την κλήση της συνάρτησης session_start().
Πηγή: opennet.ru
