นักพัฒนาโครงการ PHP ได้ประกาศการค้นพบช่องโหว่อีกจุดหนึ่ง (CVE-2026-115560) ซึ่งอาจถูกใช้ประโยชน์ในการเรียกใช้โค้ดจากระยะไกลบนเซิร์ฟเวอร์ได้ ภายใต้การตั้งค่าที่ไม่ใช่ค่าเริ่มต้นและโค้ด PHP ที่ถูกเรียกใช้ในบางกรณีที่เกิดขึ้นได้ยาก พวกเขามีแผนจะเผยแพร่รายละเอียดของช่องโหว่นี้เมื่อมีการออกแพทช์แก้ไขช่องโหว่ PHP เวอร์ชันถัดไปแล้ว
เพื่อแก้ไขปัญหานี้ ขอแนะนำให้ตั้งค่าพารามิเตอร์ "session.upload_progress.enabled=0" ในไฟล์ php.ini ซึ่งเป็นหนึ่งในมาตรการที่แนะนำเพื่อป้องกันช่องโหว่ร้ายแรงก่อนหน้านี้ ปัญหาเกิดขึ้นเมื่อพารามิเตอร์ "session.serialize_handler" ถูกตั้งค่าเป็น "php_binary" หรือ "php_serialize" ในการตั้งค่า และพารามิเตอร์นี้ถูกเปลี่ยนเป็น "php" ในโค้ด PHP ผ่านฟังก์ชัน "ini_set()" ก่อนที่จะเรียกใช้ฟังก์ชัน session_start()
ที่มา: opennet.ru
