Admin
Администратор
Разработчики PHP предупредили о новой уязвимости, позволяющей злоумышленникам выполнять произвольный код на веб-сервере. Проблема, получившая идентификатор CVE-2026-115560, была обнаружена всего через два дня после выпуска экстренных исправлений для критических уязвимостей PHP2Shell. В отличие от предыдущих проблем, новая уязвимость затрагивает только веб-приложения, сконфигурированные особым образом, что разработчики PHP считают маловероятным сценарием. Проект не планирует выпускать экстренное исправление для этой проблемы, вместо этого рекомендуя временно отключить функцию session upload progress до выхода следующего регулярного обновления. Уязвимость актуальна только для узкого круга конфигураций, когда веб-приложение изменяет параметр session.serialize_handler во время работы. PHP подчёркивает, что такая настройка встречается редко, поэтому исправление будет включено в обычный цикл выпуска обновлений, а не выпущено в экстренном порядке. На данный момент не зафиксировано случаев эксплуатации этой уязвимости, в отличие от активно используемых уязвимостей PHP2Shell, исправленных ранее.
