Vývojári projektu PHP upozornili na zistenie ďalšej zraniteľnosti (CVE-2026-115560), ktorá potenciálne môže byť použitá na vzdialené vykonávanie kódu na serveri pri určitých zriedkavých kombináciách nenormálnych nastavení (nie v predvoľbách) a vykonávaného PHP kódu. Podrobnosti o zraniteľnosti plánujú zverejniť po dokončení ďalších opravných vydaní PHP.
Ako obchádzkovú ochranu sa odporúča nastaviť v php.ini parameter „session.upload_progress.enabled=0“, ktorý bol tiež odporúčaný ako jedna z opatrení na blokovanie predchádzajúcej kritickej zraniteľnosti. Problém sa prejavuje v prípade, že je v nastaveniach parameter „session.serialize_handler“ nastavený na hodnotu „php_binary“ alebo „php_serialize“ a táto hodnota sa mení v PHP kóde na „php“ pomocou funkcie „ini_set()“ pred volaním funkcie session_start().
Zdroj: opennet.ru
