PHP предупредила о новом RCE-векторе CVE-2026-115560 без экстренного патча
Проект PHP 23 октября сообщил о новом потенциальном векторе удалённого выполнения кода (RCE), которому присвоен идентификатор CVE-2026-115560. Уязвимость связана с обработкой сессий и пока не исправлена отдельным релизом.
Что произошло
Сценарий возникает только при одновременном выполнении нескольких условий: приложение изначально использует php_binary или php_serialize для session.serialize_handler, затем меняет его на php через ini_set() до вызова session_start(), а функция отслеживания прогресса загрузки файлов остаётся включённой. PHP подчёркивает, что такая комбинация конфигурации и кода встречается редко.
Это отдельная проблема, а не новая версия двух критических уязвимостей PHP2Shell, исправленных 21 октября в ветках 8.2–8.5. Установка этих обновлений необходима, но сама по себе CVE-2026-115560 не закрывает.
Что рекомендуют
До выхода исправления команда PHP советует отключить отслеживание прогресса загрузки: session.upload_progress.enabled=0. Если эта настройка уже была применена в рамках защиты от CVE-2026-109619 и сохраняется, дополнительных действий для нового сценария не требуется. Проект планирует включить исправление в следующий обычный bugfix-релиз, поскольку считает сочетание условий маловероятным и не заявляет об экстренном обновлении.
Почему важно
Версия PHP сама по себе не позволяет определить наличие этого риска: нужно проверить конфигурацию и код приложения, включая динамическое изменение обработчика сериализации. На 24 октября публичного патча и подтверждённых атак именно по CVE-2026-115560 не заявлено. Поэтому материал не следует трактовать как предупреждение о массовой эксплуатации, но администраторам PHP-сервисов стоит проверить редкую конфигурацию и временно отключить ненужную функцию.