PHP 專案開發者宣布發現了一個新的漏洞 (CVE-2026-115560)，該漏洞可能在某些罕見的非預設設定和已執行的 PHP 程式碼組合下，被利用來遠端執行伺服器上的程式碼。他們計劃在下一版 PHP 修補程式發布後公佈該漏洞的詳細資訊。
作為臨時解決方案，建議在 php.ini 檔案中設定「session.upload_progress.enabled=0」參數，這之前也被推薦為阻止一個嚴重漏洞的措施之一。此問題發生在以下情況：當設定中“session.serialize_handler”參數被設定為“php_binary”或“php_serialize”，並且在呼叫 session_start() 函數之前，透過 PHP 程式碼中的“ini_set()”函數將該參數變更為“php”時。
來源： opennet.ru
