מפתחי פרויקט ה-PHP הודיעו על גילוי פגיעות נוספת (CVE-2026-115560), אשר עלולה להיות מנוצלת להפעלת קוד מרחוק בשרת תחת שילוב מסוים ונדיר של הגדרות שאינן ברירת מחדל וקוד PHP מבוצע. הם מתכוונים לפרסם פרטים על הפגיעות לאחר שגרסאות ה-PHP הבאות יהיו מוכנות.
כפתרון עוקף, מומלץ להגדיר את הפרמטר "session.upload_progress.enabled=0" בקובץ php.ini, אשר הומלץ גם כאחד האמצעים לחסימת פגיעות קריטית קודמת. הבעיה מתרחשת כאשר הפרמטר "session.serialize_handler" מוגדר ל-"php_binary" או "php_serialize" בהגדרות ופרמטר זה משתנה בקוד ה-PHP ל-"php" דרך הפונקציה "ini_set()" לפני קריאה לפונקציית session_start().
מקור: OpenNet.ru
