Пока администраторы во всем мире разбираются с уязвимостями PHP2Shell и массовыми попытками эксплуатации этих багов, в конце прошлой недели разработчики PHP предупредили еще об одной RCE-уязвимости. Новая проблема получила идентификатор CVE-2026-115560 и патча для нее пока нет.
Сообщение о новом баге появилось всего через два дня после выпуска экстренных патчей для двух критических уязвимостей PHP2Shell — CVE-2026-109618 и CVE-2026-109619. В отличие от них, CVE-2026-115560 затрагивает только системы с довольно редким сочетанием настроек и специфического поведения приложения, поэтому разработчики не стали готовить еще одно срочное исправление.
Специалисты объясняют, что для эксплуатации нового бага приложение должно использовать php_binary или php_serialize в качестве session.serialize_handler, а затем во время работы переключать этот параметр на php через ini_set() — причем до вызова session_start(). Кроме того, должна оставаться включенной функция отслеживания прогресса загрузки файлов (session upload progress), которая активна по умолчанию.
По оценке разработчиков PHP, в реальных приложениях такая конфигурация встречается крайне редко, а если приложение не меняет serialize handler во время работы, CVE-2026-115560 не представляет для него угрозы.
Так как патча пока нет, рекомендуется временно отключить session upload progress, установив значение session.upload_progress.enabled=0. Эта мера уже фигурировала среди рекомендаций для защиты от CVE-2026-109619, поэтому администраторам, которые отключили эту функцию из-за PHP2Shell и не включали обратно, не потребуется делать что-либо еще.
Полноценный бюллетень безопасности, посвященный CVE-2026-115560, разработчики планируют опубликовать позже вместе с плановым обновлением PHP. Пока остается неясным, какие версии затрагивает уязвимость, какую оценку она получит и в каких релизах появится патч. Также пока неясно, связан ли этот баг с CVE-2026-109619.
