Programiści projektu PHP poinformowali o wykryciu kolejnej podatności (CVE-2026-115560), która potencjalnie może być wykorzystywana do zdalnego wykonywania kodu na serwerze przy pewnym rzadkim połączeniu niecodziennych ustawień (nie w domyślnej konfiguracji) oraz wykonywanego kodu PHP. Szczegóły dotyczące podatności mają zostać opublikowane po przygotowaniu kolejnych wersji poprawkowych PHP.
Jako obejście ochrony zaleca się ustawienie w pliku php.ini parametru „session.upload_progress.enabled=0”, który również był rekomendowany jako jedna z metod blokowania poprzedniej krytycznej podatności. Problem występuje, gdy w ustawieniach parametru „session.serialize_handler” ustawione jest wartość „php_binary” lub „php_serialize”, a następnie zmienia się ten parametr w kodzie PHP na wartość „php” za pomocą funkcji „ini_set()” przed wywołaniem funkcji session_start().
Źródło: opennet.ru
