PHP-ის კიდევ ერთი დაუცველობა, რომელიც იშვიათ კონფიგურაციებში საშუალებას იძლევა კოდის დისტანციურად შესრულებას.

PHP პროექტის დეველოპერებმა კიდევ ერთი დაუცველობის (CVE-2026-115560) აღმოჩენის შესახებ განაცხადეს, რომლის გამოყენებაც პოტენციურად შესაძლებელია სერვერზე კოდის დისტანციური შესრულებისთვის არასტანდარტული პარამეტრებისა და შესრულებული PHP კოდის გარკვეული, იშვიათი კომბინაციის პირობებში. ისინი აპირებენ დაუცველობის დეტალების გამოქვეყნებას PHP-ის შემდეგი პატჩის ვერსიების მზადყოფნის შემდეგ.

შემოვლითი გზის სახით, რეკომენდებულია php.ini ფაილში დააყენოთ „session.upload_progress.enabled=0“ პარამეტრი, რომელიც ასევე რეკომენდებული იყო წინა კრიტიკული დაუცველობის დაბლოკვის ერთ-ერთ ღონისძიებად. პრობლემა მაშინ ჩნდება, როდესაც პარამეტრებში „session.serialize_handler“ პარამეტრი დაყენებულია „php_binary“-ზე ან „php_serialize“-ზე და ეს პარამეტრი PHP კოდში იცვლება „php“-ზე „ini_set()“ ფუნქციის მეშვეობით session_start() ფუნქციის გამოძახებამდე.

წყარო: opennet.ru