सुरक्षा · 27 अक्टूबर 2026
PHP में नई सुरक्षा खामी का पता चला, पैच अभी उपलब्ध नहीं
PHP में एक नई सुरक्षा खामी का पता चला है जिसे CVE-2026-115560 कोड के साथ ट्रैक किया जा रहा है। यह खामी रिमोट कोड निष्पादन का जोखिम पैदा करती है।
यह सुरक्षा समस्या उन वेब अनुप्रयोगों को प्रभावित करती है जिनमें विशिष्ट सत्र विन्यास होते हैं। PHP टीम ने 23 अक्टूबर 2026 को एक आधिकारिक घोषणा की जिसमें बताया गया कि रिमोट कोड निष्पादन का जोखिम उस सत्र तंत्र में है जो फ़ाइल अपलोड प्रक्रियाओं की प्रगति पर नज़र रखता है। इस खामी का लाभ उठाने के लिए अनुप्रयोग का विन्यास बहुत असामान्य होना चाहिए।
इस विशिष्ट स्थिति के कारण, PHP टीम इस समस्या को तत्काल अपडेट के बजाय अगले नियमित त्रुटि सुधार संस्करण में ठीक करने की योजना बना रही है। यह खामी 21 अक्टूबर को सामने आए PHP2Shell के रूप में ज्ञात दो महत्वपूर्ण सुरक्षा मुद्दों, CVE-2026-109618 और CVE-2026-109619 से पूरी तरह अलग है। पिछले मुद्दों को हल करने के लिए PHP ने 8.5.12, 8.4.27, 8.3.36 और 8.2.35 संस्करण जारी किए थे, लेकिन वे CVE-2026-115560 को ठीक नहीं करते हैं।
इस खामी को सक्रिय करने के लिए कुछ शर्तों का एक साथ पूरा होना आवश्यक है। session.serialize_handler विकल्प को php_binary या php_serialize पर सेट होना चाहिए, और फिर अनुप्रयोग को session_start() कॉल से पहले ini_set() फ़ंक्शन का उपयोग करके इस मान को php में बदलना चाहिए। इसके अतिरिक्त, session.upload_progress.enabled विशेषता का सक्रिय होना भी आवश्यक है।
PHP डेवलपर्स ने कहा है कि जो सिस्टम रनटाइम के दौरान सत्र सीरियलाइजेशन विधि को नहीं बदलते हैं, वे प्रभावित नहीं होंगे। एक अस्थायी उपाय के रूप में, PHP विन्यास में session.upload_progress.enabled=0 का उपयोग करने का सुझाव दिया गया है।
Cloudflare ने 23 अक्टूबर को सूचित किया कि उसके वर्तमान वेब एप्लिकेशन फ़ायरवॉल नियम ज्ञात हमले के प्रयासों को रोक रहे हैं, बशर्ते अनुप्रयोग PHP के डिफ़ॉल्ट फ़ाइल अपलोड प्रगति फ़ील्ड नाम का उपयोग करते हों। हालांकि पिछले दो सुरक्षा मुद्दों का उपयोग करके Mirai बॉटनेट परिवार के Potassium मैलवेयर को स्थापित करने के प्रयास देखे गए थे, लेकिन CVE-2026-115560 के सक्रिय हमलों में उपयोग किए जाने की कोई रिपोर्ट नहीं है।