PHP projekti arendajad on hoiatanud veel ühe haavatavuse (CVE-2026-115560) leidmise kohta, mis võib potentsiaalselt võimaldada koodi kaugkäivitamist serveris kindlas haruldases kombinatsioonis ebatavalistest seadistustest (mitte vaikeseadistustes) ja täidetavast PHP koodist. Täiendavad üksikasjad haavatavuse kohta kavatsetakse avaldada pärast järgmiste PHP korrektsioonide väljaandmist.
Kaitse ümbermineku meetodina soovitatakse php.ini seadistuses seadistada parameeter „session.upload_progress.enabled=0”, mis on samuti soovitatud ühe kriitilise haavatavuse blokeerimise meetmena. Probleem ilmneb, kui seadistustes on parameeter „session.serialize_handler” seatud väärtusele „php_binary” või „php_serialize” ning selle parameetri muutmine PHP koodis väärtusele „php” toimub läbi funktsiooni „ini_set()” enne session_start() funktsiooni kutsumist.
Allikas: opennet.ru
