Разработчики нашли третью уязвимость в PHP

Разработчики PHP предупредили о третьей уязвимости, позволяющей при определённых условиях запускать чужой код на веб-сервере. Новую проблему обнаружили всего через два дня после экстренного закрытия двух критических дыр. Однако срочного исправления на этот раз не будет.

Уязвимость CVE-2026-115560 затрагивает механизм отслеживания загрузки файлов через PHP-сессии. В потенциально опасной конфигурации злоумышленник может добиться удалённого выполнения кода, то есть заставить сервер выполнять посторонние команды. Разработчики считают подобный сценарий маловероятным, поэтому решили включить исправление в очередной плановый выпуск.

Проблема возникает лишь при необычном сочетании настроек и действий самого приложения. Сначала параметр session.serialize_handler должен принимать значение php_binary или php_serialize. Затем программа во время работы переключает его на php через функцию ini_set(), причём до вызова session_start(). Одновременно должен оставаться включённым механизм session upload progress, который позволяет отслеживать, сколько данных уже загружено на сервер.

При стандартной работе PHP подобная последовательность встречается редко. Если приложение вообще не меняет способ сериализации сессий во время выполнения, описанный путь атаки для него недоступен. Сериализация отвечает за преобразование данных пользовательского сеанса в формат, пригодный для хранения. Разработчики пока не раскрыли подробности эксплуатации и не объяснили, связана ли новая ошибка с ранее обнаруженными проблемами управления памятью.

До выхода исправления команда PHP рекомендует установить в конфигурации параметр session.upload_progress.enabled=0. Такой запрет отключает отслеживание хода загрузки файлов через механизм сессий, но не саму возможность загружать файлы. Аналогичную меру разработчики уже предлагали при устранении CVE-2026-109619. Администраторам, которые применили защитную настройку 21 октября и сохранили её, дополнительных действий не требуется.

Пока неизвестно, какие именно версии PHP затрагивает CVE-2026-115560, когда появится исправление и какую оценку опасности получит уязвимость. Полный технический бюллетень разработчики обещают выпустить вместе с очередным обновлением. Сообщений об эксплуатации новой ошибки в реальных атаках на момент предупреждения не поступало. При этом предыдущие две уязвимости уже вызвали массовую активность злоумышленников.