PHP-säkerhetsbrist utan tillfällig lösning

En ny säkerhetsbrist i PHP har identifierats och den har ännu ingen tillgänglig programvaruuppdatering. Bristen, som har koden CVE-2026-115560, innebär en risk för att skadlig kod kan köras på avstånd. PHP-gruppen har meddelat att de inte kommer att släppa en akut uppdatering utan att vänta på nästa vanliga felsökningsversion. Detta beslut bygger på att bristen kräver en mycket ovanlig konfiguration för att kunna utnyttjas. Säkerhetsbristen påverkar webbtjänster som hanterar sessionsdata på ett specifikt sätt. För att attacken ska fungera måste flera villkor vara uppfyllda samtidigt. Först måste konfigurationsalternativet session.serialize_handler vara inställt på antingen php_binary eller php_serialize.

Därefter måste programmet ändra detta värde till php med hjälp av funktionen ini_set(). Denna ändring måste ske innan funktionen session_start() anropas. Dessutom måste funktionen session.upload_progress.enabled vara aktiverad. Denna funktion är standardaktiverad och används för att följa med på filuppladdningar via sessionsdata. PHP-utvecklarna rekommenderar att man sätter session.upload_progress.enabled till 0 som en tillfällig åtgärd. Detta stänger av funktionen för att följa filuppladdningar. Företaget Cloudflare har meddelat att deras webbskydd redan blockerar kända attacker mot denna brist. Denna skyddande åtgärd gäller dock bara för program som använder standardnamnet för filuppladdningsfältet.