Kolejna podatność w PHP, pozwalająca na zdalne wykonanie kodu w rzadkich konfiguracjach

Deweloperzy projektu PHP ostrzegli o wykryciu kolejnej luki (CVE-2026-115560), która potencjalnie może być wykorzystywana do zdalnego wykonywania kodu na serwerze w przypadku szczególnego, rzadkiego połączenia niestandardowych ustawień (nie w konfiguracji domyślnej) oraz wykonywanego kodu PHP. Szczegóły dotyczące luki mają zostać opublikowane po przygotowaniu kolejnych poprawek PHP.

Jako obejście problemu zaleca się ustawienie w php.ini parametru „session.upload_progress.enabled=0”, który był również rekomendowany jako jedna z metod blokowania poprzedniej poważnej luki. Problem pojawia się, gdy w ustawieniach parametr „session.serialize_handler” jest ustawiony na „php_binary” lub „php_serialize”, a ten parametr jest zmieniany w kodzie PHP na wartość „php” za pomocą funkcji „ini_set()” przed wywołaniem funkcji session_start().

Źródło: opennet.ru