PHP նախագծի մշակողները հայտարարել են ևս մեկ խոցելիության հայտնաբերման մասին (CVE-2026-115560), որը կարող է օգտագործվել սերվերի վրա հեռակա կոդի կատարման համար՝ ոչ լռելյայն կարգավորումների և կատարված PHP կոդի որոշակի, հազվագյուտ համադրության դեպքում: Նրանք մտադիր են հրապարակել խոցելիության մանրամասները, երբ PHP-ի հաջորդ թարմացման թողարկումները պատրաստ լինեն:
Որպես շրջանցիկ լուծում, խորհուրդ է տրվում php.ini ֆայլում սահմանել "session.upload_progress.enabled=0" պարամետրը, որը նաև խորհուրդ է տրվել որպես նախորդ կարևոր խոցելիությունը արգելափակելու միջոցներից մեկը: Խնդիրն առաջանում է, երբ կարգավորումներում "session.serialize_handler" պարամետրը սահմանվում է "php_binary" կամ "php_serialize" և այս պարամետրը PHP կոդում փոխվում է "php"-ի՝ "ini_set()" ֆունկցիայի միջոցով, նախքան session_start() ֆունկցիան կանչելը:
Source: opennet.ru
