Các nhà phát triển dự án PHP đã thông báo về việc phát hiện ra một lỗ hổng bảo mật khác (CVE-2026-115560), có khả năng bị khai thác để thực thi mã từ xa trên máy chủ trong một số trường hợp hiếm gặp khi kết hợp các thiết lập không mặc định và mã PHP được thực thi. Họ dự định sẽ công bố chi tiết về lỗ hổng này sau khi các bản vá PHP tiếp theo được phát hành.
Để khắc phục tạm thời, người ta khuyến nghị thiết lập tham số "session.upload_progress.enabled=0" trong php.ini, đây cũng là một trong những biện pháp được khuyến nghị để ngăn chặn lỗ hổng bảo mật nghiêm trọng trước đó. Vấn đề xảy ra khi tham số "session.serialize_handler" được đặt thành "php_binary" hoặc "php_serialize" trong phần cài đặt và tham số này được thay đổi thành "php" trong mã PHP thông qua hàm "ini_set()" trước khi hàm session_start() được gọi.
Nguồn: opennet.ru
