Аннотация:
24 октября PHP Foundation опубликовал объявление, раскрывающее риск уязвимости удаленного выполнения кода под номером CVE-2026-115560. Однако эта уязвимость пока не будет устранена путем выпуска новой версии, поскольку для срабатывания уязвимости требуется определенная комбинация конфигурации и кода приложения, а это означает, что вред относительно не так высок.
В соответствии с известной на данный момент ситуацией, эта уязвимость должна одновременно соответствовать нескольким условиям, чтобы сработать: конфигурация приложения устанавливает для session.serialize_handler значение php_binary или php_serialize, затем переключает его на php через ini_set() во время выполнения и вызывает session_start() после переключения. При этом необходимо также включить session.upload_progress.enabled.
session.serialize_handler используется для управления форматом сериализации, используемым PHP при чтении и записи данных сеанса. PHP говорит, что если приложение не переключается на этот процессор во время работы, оно может продолжать использовать функцию прогресса загрузки. Официальные лица оценивают такую комбинацию конфигураций как относительно редкую ситуацию в реальных приложениях.
Временный план смягчения последствий:
Последняя уязвимость отличается от уязвимости PHP2Shell, которая была исправлена ранее в новой версии PHP. Поскольку способ срабатывания этой уязвимости относительно редок, PHP Foundation временно предоставляет решение по смягчению последствий для потенциально затронутых разработчиков. Позже будет выпущена новая версия, которая полностью исправит эту проблему.
Фонд PHP рекомендует затронутым пользователям установить для session.upload_progress.enabled значение 0 и сохранять этот параметр до тех пор, пока не будет установлен очередной выпуск, содержащий исправление. Средам, в которых ранее был отключен процесс загрузки, не требуется вносить повторные настройки.
Комментарии