PHP ujawnia kolejną lukę. Wcześniejsze poprawki nie usuwają CVE-2026-115560

PHP opublikowało 23 października ostrzeżenie o nowej możliwości zdalnego wykonania kodu, oznaczonej CVE-2026-115560. Poprawki wydane 21 października nie usuwają tego problemu. Luka wymaga jednak rzadkiego połączenia ustawień i zachowania aplikacji; twórcy zalecają zabezpieczenie konfiguracyjne do następnego regularnego wydania.

Co nowego po PHP2Shell

To istotna aktualizacja do wcześniejszych informacji o PHP2Shell: nowy identyfikator opisuje dodatkową ścieżkę wykonania kodu, pozostającą poza zakresem opublikowanych już poprawek. Kanadyjskie centrum cyberbezpieczeństwa potwierdziło ten szczegół w aktualizacji swojego ostrzeżenia z 23 października.

PHP zaleca ustawienie session.upload_progress.enabled=0. Parametr wyłącza funkcję śledzenia postępu przesyłania plików w sesji. Takie ustawienie pojawiało się już w środkach ograniczających ryzyko związane z wcześniejszą luką. Jeśli administratorzy wdrożyli je i pozostawili aktywne, producent nie wymaga dodatkowej zmiany specjalnie dla CVE-2026-115560.

Kiedy aplikacja jest narażona

Problem wymaga skonfigurowania session.serialize_handler jako php_binary lub php_serialize, a następnie przełączenia go na php przez ini_set() przed wywołaniem session_start(). Jednocześnie musi pozostać włączone śledzenie postępu przesyłania plików.

Aplikacje, które nie zmieniają sposobu serializacji sesji podczas działania, nie są narażone na tę ścieżkę ataku. PHP ocenia taką konfigurację jako mało prawdopodobną w praktyce. Dlatego zapowiada obsługę problemu w regularnym cyklu wydań zamiast kolejnej nadzwyczajnej publikacji. W sprawdzonych ostrzeżeniach nie wskazano potwierdzonych ataków wykorzystujących tę nową lukę.

Co zrobić teraz

• Sprawdzić ustawienia sesji i miejsca, w których aplikacja zmienia session.serialize_handler.
• W narażonych instalacjach zastosować session.upload_progress.enabled=0 w konfiguracji PHP.
• Zweryfikować skuteczność ustawienia w działającym środowisku i przetestować przesyłanie plików.
• Zachować wcześniejsze aktualizacje PHP oraz śledzić komunikat o wydaniu zawierającym poprawkę nowej luki.

Komentarz SecurHUB

Po pilnej aktualizacji warto ponownie ocenić konfigurację oraz sposób używania funkcji przez aplikację. Audyty bezpieczeństwa pomagają powiązać komunikaty producentów z rzeczywistymi warunkami działania usług.

Źródła: PHP — komunikat z 23 października, Canadian Centre for Cyber Security — aktualizacja ostrzeżenia