PHP 项目开发者宣布发现了一个新的漏洞 (CVE-2026-115560)，该漏洞可能在某些罕见的非默认设置和已执行的 PHP 代码组合下，被利用来远程执行服务器上的代码。他们计划在下一版 PHP 补丁发布后公布该漏洞的详细信息。
作为一种临时解决方案，建议在 php.ini 文件中设置“session.upload_progress.enabled=0”参数，这之前也被推荐作为阻止一个严重漏洞的措施之一。此问题发生在以下情况下：当设置中“session.serialize_handler”参数被设置为“php_binary”或“php_serialize”，并且在调用 session_start() 函数之前，通过 PHP 代码中的“ini_set()”函数将该参数更改为“php”时。
来源： opennet.ru
