Безопасность · 27 октября 2026 г.
В PHP обнаружена новая уязвимость безопасности
В популярном языке программирования PHP обнаружена новая уязвимость, которая может привести к удалённому выполнению кода на веб-серверах. Эта проблема затрагивает определённые конфигурации веб-приложений и была выявлена всего через два дня после публикации экстренных исправлений для уязвимости PHP2Shell.
В основе новой проблемы лежит функция управления сессиями под названием «session upload progress». Эта функция позволяет отслеживать прогресс загрузки файлов пользователями. Для успешной эксплуатации атаки необходимо, чтобы параметр «session.serialize_handler» был установлен в значение «php_binary» или «php_serialize», а затем изменён на «php» с помощью функции «ini_set()» до вызова «session_start()». Также должна быть активна функция отслеживания прогресса загрузки сессий.
Разработчики PHP считают, что вероятность столкновения с этой уязвимостью в реальных условиях крайне мала, так как для её реализации требуется одновременное выполнение всех перечисленных условий. Приложения, которые не изменяют метод сериализации во время работы, не подвержены этой конкретной атаке.
Вместо выпуска экстренного обновления команда разработчиков рекомендует временно отключить проблемную функцию. Системным администраторам предлагается установить параметр «session.upload_progress.enabled=0». Это временное решение уже предлагалось 21 октября в предыдущем уведомлении о безопасности для устранения одной из уязвимостей PHP2Shell. Поэтому администраторы, которые уже применили эту настройку, не должны выполнять дополнительных действий.
Исправление для новой уязвимости, получившей идентификатор CVE-2026-115560, запланировано к выпуску в ближайшей плановой версии с исправлением ошибок. На данный момент проект не раскрыл список затронутых версий, точные сроки выпуска патча или уровень критичности проблемы. Также неизвестно, связана ли новая уязвимость с той же причиной, что и одна из предыдущих проблем PHP2Shell.