PHP ledwo załatało krytyczne dziury. Już znaleziono kolejną

PHP ponownie ostrzega przed zagrożeniem dla bezpieczeństwa serwerów internetowych. Zaledwie dwa dni po wydaniu awaryjnych poprawek usuwających krytyczne luki PHP2Shell ujawniono kolejny problem, który w określonych warunkach może umożliwić zdalne wykonanie kodu. Nowa podatność otrzymała oznaczenie CVE-2026-115560. Na razie nie przygotowano dla niej osobnej poprawki, ale twórcy PHP wskazali prosty sposób na ograniczenie ryzyka.

Według zespołu PHP podatność może zostać wykorzystana w aplikacjach internetowych korzystających z określonej konfiguracji obsługi sesji. Nie jest to jednak luka, która automatycznie zagraża wszystkim serwerom z PHP. Problem pojawia się, gdy aplikacja wykorzystuje konkretne ustawienia serializacji sesji, a następnie zmienia je podczas działania. Początkowo parametr session.serialize_handler musi wskazywać php_binary lub php_serialize, po czym aplikacja zmienia jego wartość na php za pomocą funkcji ini_set(). Zmiana musi nastąpić przed wywołaniem session_start(). Dodatkowo włączona musi być funkcja śledzenia postępu przesyłania plików.

Połączenie tych warunków jest na tyle nietypowe, że PHP ocenia prawdopodobieństwo wystąpienia problemu jako niewielkie. Nie podano jednak pełnej oceny jego ważności ani listy wszystkich podatnych wersji oprogramowania.

Nie ma jeszcze poprawki. PHP zaleca jedną zmianę

Zespół PHP nie zdecydował się na kolejne awaryjne wydanie. Zamiast tego zalecił tymczasowe wyłączenie funkcji odpowiedzialnej za śledzenie postępu przesyłania plików. W tym celu należy ustawić parametr session.upload_progress.enabled na 0.

Funkcja ta pozwala aplikacjom monitorować przebieg przesyłania plików. Jest domyślnie włączona, ale nie każda witryna musi z niej korzystać. Jej wyłączenie stanowi tymczasowe zabezpieczenie do czasu udostępnienia właściwej poprawki.

Co istotne, identyczne ustawienie znalazło się już we wcześniejszych zaleceniach dotyczących podatności PHP2Shell. Administratorzy, którzy zastosowali się do tamtego komunikatu i pozostawili tę opcję wyłączoną, nie muszą wprowadzać dodatkowej zmiany w związku z nowym ostrzeżeniem.

Administratorzy nie powinni czekać na kolejną aktualizację

PHP zamierza opublikować pełniejsze informacje o CVE-2026-115560 wraz z kolejnym wydaniem. Na razie nie wiadomo, które wersje zostaną objęte poprawką ani czy nowa podatność ma wspólną przyczynę z wcześniejszymi problemami. Nie podano również, czy nowy problem ma wspólną przyczynę z CVE-2026-109619. Jak dotąd nie zgłoszono żadnego przypadku wykorzystania luki CVE-2026-115560.

Administratorzy serwerów powinni sprawdzić konfigurację swoich aplikacji i upewnić się, że funkcja session.upload_progress.enabled jest wyłączona, jeśli nie jest potrzebna. W przypadku wcześniejszych podatności kluczowe pozostaje również zainstalowanie odpowiednich aktualizacji PHP.