Hönnuðir PHP verkefnisins hafa tilkynnt að þeir hafi uppgötvað annan veikleika (CVE-2026-115560), sem hugsanlega gæti verið nýttur til að framkvæma fjarstýrða kóða á netþjóninum með ákveðinni, sjaldgæfri samsetningu af stillingum sem ekki eru sjálfgefnar og keyrðum PHP kóða. Þeir hyggjast birta upplýsingar um veikleikann þegar næstu PHP uppfærslur eru tilbúnar.
Sem lausn er mælt með því að stilla breytuna „session.upload_progress.enabled=0“ í php.ini, sem einnig var mælt með sem ein af ráðstöfunum til að loka fyrir fyrri alvarlega veikleika. Vandamálið kemur upp þegar breytan „session.serialize_handler“ er stillt á „php_binary“ eða „php_serialize“ í stillingunum og þessi breyta er breytt í PHP kóða í „php“ með „ini_set()“ fallinu áður en session_start() fallið er kallað á.
Heimild: opennet.ru
