Los desarrolladores del proyecto PHP han advertido sobre la detección de otra vulnerabilidad (CVE-2026-115560) que potencialmente puede ser utilizada para la ejecución remota de código en el servidor bajo una combinación inusual de configuraciones no estándar (no en la configuración predeterminada) y código PHP ejecutable. Los detalles sobre la vulnerabilidad se publicarán una vez que estén listos los próximos lanzamientos de corrección de PHP.
Como solución alternativa de protección, se recomienda establecer en php.ini el parámetro "session.upload_progress.enabled=0", que también fue recomendado como una de las medidas para bloquear la vulnerabilidad crítica anterior. El problema se manifiesta cuando el parámetro "session.serialize_handler" está configurado como "php_binary" o "php_serialize", y este parámetro se modifica en el código PHP a "php" a través de la función "ini_set()" antes de llamar a la función session_start().
Fuente: opennet.ru
