PHP a documentat o remediere de configurație pentru un scenariu RCE condiționat. Verifică setarea efectivă a mediului web, nu doar CLI.
La 23 octombrie 2026, PHP a publicat detalii despre CVE-2026-115560, legată de monitorizarea progresului încărcărilor de sesiune. Proiectul nu a lansat un release out-of-band pentru această problemă și recomandă o mitigare prin configurație atunci când scenariul este relevant.
Ce înseamnă mitigarea
session.upload_progress.enabled = 0Setarea dezactivează funcția de monitorizare a progresului upload-urilor prin sesiune. Este o măsură de configurație, distinctă de actualizările de cod pentru CVE-2026-109618 și CVE-2026-109619.
PHP descrie un scenariu condiționat, cu o combinație neobișnuită de serializare a sesiunii și modificare a setărilor înainte de pornirea sesiunii. Nu interpreta orice aplicație PHP drept exploatabilă automat prin acest traseu.
Verifică mediul care servește site-ul
php -i | findstr /I upload_progress
php -r "echo ini_get('session.upload_progress.enabled');"Pe Linux, folosește grep în loc de findstr. Confirmă și fișierele php.ini / pool-urile PHP-FPM încărcate de serviciul web. Un rezultat din CLI nu certifică setarea procesului FPM.
Unde o aplici
Pe VPS, editează configurația PHP folosită de site și reîncarcă PHP-FPM. Pe hosting cu panou, folosește MultiPHP INI Editor sau instrumentul echivalent, apoi verifică din nou valoarea efectivă.
Dacă o aplicație depinde explicit de upload progress, evaluează impactul înainte de dezactivare și caută o alternativă documentată.
Nu confunda remedierile
Actualizarea la 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 tratează alte CVE-uri critice. Mitigarea pentru CVE-2026-115560 rămâne o verificare separată de configurație.
Pentru instalări pe XSERVERE, notează atât versiunea PHP, cât și starea session.upload_progress.enabled după control.
Ți-a fost util acest articol?