Sicurezza · 27 ottobre 2026
PHP presenta un nuovo problema di sicurezza: due giorni dopo PHP2Shell
Un nuovo problema di sicurezza è emerso in PHP, il linguaggio di programmazione ampiamente utilizzato, dopo la scoperta di due vulnerabilità critiche che hanno causato crisi nel settore del software. Questa nuova vulnerabilità, che consente l'esecuzione remota di codice sui server web, è stata identificata solo due giorni dopo la pubblicazione di patch urgenti per il problema noto come PHP2Shell.
PHP ha avvertito che la nuova vulnerabilità è legata a un'opzione di gestione delle sessioni chiamata "session upload progress". Questa funzione consente di monitorare il progresso del caricamento dei file da parte degli utenti in un'applicazione web. La vulnerabilità si attiva solo se l'applicazione è configurata in un modo specifico, rendendo improbabile la sua manifestazione nella pratica. Gli sviluppatori di PHP suggeriscono di disabilitare temporaneamente questa funzionalità fino alla prossima release regolare.
Per attivare la vulnerabilità, è necessario che l'opzione "session.serialize_handler" sia impostata su "php_binary" o "php_serialize", e poi cambiata in "php" tramite la funzione "ini_set()" prima della chiamata a "session_start()". Inoltre, la funzionalità di caricamento delle sessioni deve essere attiva. Poiché tutte queste condizioni devono essere soddisfatte simultaneamente, PHP ha valutato bassa la probabilità che l'apertura si verifichi in applicazioni reali.
I programmatori di PHP non rilasceranno una patch urgente per il nuovo problema di sicurezza, ma consigliano agli amministratori di sistema di disabilitare la funzionalità utilizzando l'impostazione "session.upload_progress.enabled=0" fino a quando il problema non verrà risolto. Questa soluzione non è nuova, poiché era stata già suggerita come rimedio temporaneo per una delle vulnerabilità di PHP2Shell. PHP prevede di fornire una correzione per la nuova vulnerabilità (CVE-2026-115560) nel prossimo aggiornamento regolare.