Розробники проекту PHP попередили про виявлення ще однієї вразливості (CVE-2026-115560), яка потенційно може використовуватися для віддаленого виконання коду на сервері при певному рідкісному поєднанні нестандартних налаштувань (не в конфігурації за замовчуванням) і PHP-коду. Подробиці про вразливість мають намір опублікувати після готовності чергових випусків PHP, що коректують.
Як обхідний шлях захисту рекомендується виставити в php.ini параметр «session.upload_progress.enabled=0», який також був рекомендований як один із заходів блокування минулої критичної вразливості. Проблема проявляється за наявності в налаштуваннях параметра "session.serialize_handler", виставленого у значення "php_binary" або "php_serialize", і зміни цього параметра в PHP-коді на значення "php" через функцію "ini_set()" на стадії до виклику функції session_start().
Джерело: opennet.ru
