[ON] Ещё одна уязвимость в PHP, в редких конфигурациях позволяющая удалённо выполнить код

[rssbot]

Разработчики проекта PHP предупредили о выявлении ещё одной уязвимости (CVE-2026-115560), которая потенциально может использоваться для удалённого выполнения кода на сервере при определённом редком сочетании нестандартных настроек (не в конфигурации по умолчанию) и выполняемого PHP-кода. Подробности о уязвимости намерены опубликовать после готовности очередных корректирующих выпусков PHP.


В качестве обходного пути защиты рекомендуется выставить в php.ini параметр "session.upload_progress.enabled=0", который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра "session.serialize_handler", выставленного в значение "php_binary" или "php_serialize", и изменения этого параметра в PHP-коде на значение "php" через функцию "ini_set()" на стадии до вызова функции session_start().



Источник: https://www.opennet.ru/opennews/art.shtml?num=66534
(opennet.ru, мини-новости)