De ontwikkelaars van het PHP-project hebben gewaarschuwd voor het ontdekken van een nieuwe kwetsbaarheid (CVE-2026-115560), die potentieel kan worden gebruikt voor het op afstand uitvoeren van code op de server bij een zeldzame combinatie van ongebruikelijke instellingen (niet in de standaardconfiguratie) en uitgevoerd PHP-code. Details over de kwetsbaarheid zullen worden gepubliceerd zodra de volgende correcties van PHP gereed zijn.
Als een omweg voor bescherming wordt aangeraden om in php.ini de parameter "session.upload_progress.enabled=0" in te stellen, die ook aanbevolen is als een van de maatregelen om de vorige kritieke kwetsbaarheid te blokkeren. Het probleem komt voor wanneer de parameter "session.serialize_handler" is ingesteld op "php_binary" of "php_serialize", en deze parameter in de PHP-code wordt gewijzigd naar "php" via de functie "ini_set()" voordat de functie session_start() wordt aangeroepen.
Bron: opennet.ru
