PHP-projektets utvecklare har meddelat upptäckten av ytterligare en sårbarhet (CVE-2026-115560), som potentiellt skulle kunna utnyttjas för fjärrkörning av kod på servern under en viss, sällsynt kombination av icke-standardinställningar och körd PHP-kod. De avser att publicera detaljer om sårbarheten när nästa PHP-patchversioner är klara.
Som en lösning rekommenderas att parametern "session.upload_progress.enabled=0" ställs in i php.ini, vilket också rekommenderades som en av åtgärderna för att blockera en tidigare kritisk sårbarhet. Problemet uppstår när parametern "session.serialize_handler" är inställd på "php_binary" eller "php_serialize" i inställningarna och denna parameter ändras i PHP-koden till "php" via funktionen "ini_set()" innan funktionen session_start() anropas.
Källa: opennet.ru
