Les développeurs du projet PHP ont averti qu'une nouvelle vulnérabilité (CVE-2026-115560) a été identifiée, qui pourrait potentiellement être exploitée pour exécuter du code à distance sur le serveur dans une configuration rare et non standard (pas dans la configuration par défaut) combinée avec un code PHP exécuté. Des détails sur cette vulnérabilité seront publiés lorsque les prochaines versions correctives de PHP seront prêtes.
Comme solution de contournement, il est recommandé de définir dans php.ini le paramètre « session.upload_progress.enabled=0 », qui avait également été recommandé comme l'une des mesures pour bloquer la vulnérabilité critique précédente. Ce problème se manifeste lorsque le paramètre « session.serialize_handler » est défini sur « php_binary » ou « php_serialize », et que ce paramètre est modifié dans le code PHP à la valeur « php » via la fonction « ini_set() » avant l'appel de la fonction session_start().
Source : opennet.ru
