Autor: Root.cz s využitím Duck.ai

Sotva jsme opravili chybu PHP2Shell a už je tu další problém. Nově zveřejněná chyba CVE-2026–115560 může také vést ke vzdálenému spuštění kódu, naštěstí se ale týká jen neobvyklé kombinace nastavení PHP a chování aplikace. Projekt PHP její zneužití označuje za nepravděpodobné a opravu chystá v běžném cyklu vydávání aktualizací, nikoli jako mimořádnou záplatu.

Zranitelnost souvisí se sledováním průběhu nahrávání souborů a se zpracováním relací v PHP. K jejímu využití musí mít aplikace nejprve nastavenou obslužnou rutinu serializace relací na php_binary nebo php_serialize, potom ji za běhu musí přepnout na php pomocí ini_set() ještě před zavoláním session_start(). Současně musí zůstat zapnuté sledování průběhu nahrávání. Pokud aplikace obslužnou rutinu za běhu nemění, tento způsob útoku se jí netýká.

PHP doporučuje do vydání opravy vypnout sledování průběhu nahrávání nastavením session.upload_progress.enabled=0. Vypnutí však může ovlivnit aplikace, které uživatelům zobrazují průběh nahrávání souborů.

Vývojáři neuvedli, kterých verzí se tato chyba týká, ani ve kterých konkrétních verzích bude oprava obsažena. Všechny další detaily a záplaty bychom měli dostat v rámci běžného aktualizačního cyklu.