ТехноСводка

Безопасность

В PHP обнаружили уязвимость CVE-2026-115560, допускающую RCE при редких настройках

Команда PHP предупредила об уязвимости CVE-2026-115560, которая при редком сочетании нестандартных настроек и PHP-кода может позволить удалённо выполнить код на сервере.

В конфигурации по умолчанию проблема не проявляется. Она возникает, если в настройках параметр session.serialize_handler равен php_binary или php_serialize, а в коде его меняют на php через ini_set() до вызова session_start(). Подробности разработчики опубликуют после выхода очередных корректирующих релизов.

В качестве временной меры рекомендуется задать в php.ini session.upload_progress.enabled=0.

Ранее PHP Foundation представила технический отчёт о проблемах, возникших при исправлении двух критических уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619), которые могли привести к несанкционированному RCE. Для них вышли PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для неподдерживаемых веток 7.4, 8.0 и 8.1. Администраторам советуют установить обновления: полностью закрыть уязвимости, как заявлено, можно только так.

  • Обходной путь: session.upload_progress.enabled=0
  • Исправления вышли для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35

Источники

Текст подготовлен автоматически по материалам источников и может содержать неточности.