PHP delar åtgärd mot opatchad RCE-sårbarhet

PHP:s säkerhetsteam har delat en åtgärd mot en sårbarhet för fjärrkörning av kod (RCE) som ännu saknar en patch och berör system med en ovanlig kombination av konfiguration och programkod.

Sårbarheten spåras som CVE-2026-115560 och kan bara utnyttjas om ett program ställer in session.serialize_handler på php_binary eller php_serialize, ändrar inställningen till php under körning med ini_set() före anropet till session_start() och låter uppladdningsförlopp för sessioner vara aktiverat. Teamet säger att program som inte ändrar serialiseringshanteraren under körning kan låta funktionen vara aktiverad. En fullständig säkerhetsinformation ska publiceras med nästa version.

Tills en säkerhetspatch finns tillgänglig rekommenderar PHP-utvecklarna att ställa in session.upload_progress.enabled=0. Teamet säger att system där åtgärden redan tillämpades på onsdagen inte behöver göra något mer.

Rådet kommer efter att akuta patchar släppts för två andra kritiska RCE-sårbarheter, CVE-2026-109618 och CVE-2026-109619, som tillsammans kallas PHP2Shell. Enligt källan upptäckte säkerhetsföretag misslyckade exploateringsförsök innan sårbarheterna offentliggjordes. Amazon Threat Intelligence uppgav att angripare började rikta in sig på PHP2Shell-sårbarheterna fyra dagar innan patcharna släpptes. Dataminrs TRACE-team rapporterade skanning och exploateringskod som inte fungerade, utan några kända intrång. Källan säger att det är oklart om något av de rapporterade försöken lyckades.