I sviluppatori del progetto PHP hanno avvisato di aver identificato un'altra vulnerabilità (CVE-2026-115560) che potrebbe potenzialmente essere sfruttata per l'esecuzione remota di codice sul server in una particolare e rara combinazione di impostazioni non standard (non nella configurazione predefinita) e codice PHP eseguito. I dettagli sulla vulnerabilità verranno pubblicati non appena saranno pronti i prossimi aggiornamenti correttivi di PHP.
Come soluzione alternativa di protezione, si consiglia di impostare nel php.ini il parametro "session.upload_progress.enabled=0", che è stato anche raccomandato come una delle misure per bloccare la precedente vulnerabilità critica. Il problema si verifica quando il parametro "session.serialize_handler" è impostato su "php_binary" o "php_serialize", e questo parametro viene cambiato nel codice PHP a "php" tramite la funzione "ini_set()" prima della chiamata alla funzione session_start().
Fonte: opennet.ru
