אזהרת אבטחה חדשה ב-PHP: פגיעות נוספת התגלתה ימים ספורים לאחר PHP2Shell

person using macbook pro on white table — Dan Nelson / Unsplash

הקהילה המפתחת של שפת התכנות PHP הודיעה על זיהוי פגיעות אבטחה חדשה, המאפשרת ביצוע קוד מרחוק בשרתי אינטרנט. הודעה זו מגיעה רק יומיים לאחר פרסום תיקונים דחופים עבור הפגיעויות הידועות בשם PHP2Shell, ומעלה חששות נוספים לגבי יציבות המערכת.

הפגיעות החדשה, המזוהה כ-CVE-2026-115560, קשורה לתכונת מעקב אחר התקדמות העלאת קבצים, המכונה session upload progress. תכונה זו, הפעילה כברירת מחדל, מאפשרת למשתמשים לעקוב אחר סטטוס העלאת קבצים לאפליקציות רשת. כדי שהפגיעות תנוצל, נדרשת שרשרת תנאים ספציפיים ומורכבת מאוד בתצורת השרת.

על פי ההנחיות, על התצורה לכלול הגדרה של session.serialize_handler לערך php_binary או php_serialize. לאחר מכן, יש לשנות הגדרה זו ל-php באמצעות הפונקציה ini_set(), וכל זאת חייב להתבצע לפני קריאה לפונקציה session_start(). בנוסף, תכונת מעקב ההעלאה חייבת להיות מופעלת. בשל הדרישה להימצאות כל התנאים הללו בו-זמנית, מפתחי PHP מעריכים כי הסבירות לחשיפה בפועל בסביבות ייצור נמוכה.

לפיכך, הפרויקט לא מתכוון לפרסם עדכון דחוף מיידי. במקום זאת, המלצתם היא להשבית את התכונה הבעייתית עד להוצאת הגרסה הרגילה הבאה שתכלול את התיקון. המפתחים ממליצים למנהלי מערכות להגדיר את הפרמטר session.upload_progress.enabled לערך 0. צעד זה כבר הומלץ בעבר כפתרון זמני לאחת מפגיעויות PHP2Shell ב-21 באוקטובר, ולכן מערכות שכבר יישמו אותו מוגנות גם מפני האיום החדש.

נכון להיום, הפרויקט לא פרסם רשימה של גרסאות המושפעות, לא ציין מתי בדיוק יתפרסם התיקון, ולא העניק דירוג חומרה רשמי לפגיעות. כמו כן, טרם הובהל האם שורש הבעיה החדש קשור באופן ישיר לנזק שגרמו פגיעויות PHP2Shell הקודמות.