Autor: Swati Khandelwal | Dátum: 23. október 2026 | Kategória: Zraniteľnosti / Webová bezpečnosť
PHP upozornilo na ďalší spôsob, ako môže útočník spustiť kód na webovom serveri, a to dva dni po vydaní núdzových opráv kritických zraniteľností PHP2Shell.
Nový problém, ktorému bol pridelený identifikátor CVE-2026-115560, sa týka iba webových aplikácií nakonfigurovaných nezvyčajným spôsobom a PHP ho považuje za nepravdepodobné riziko. Projekt preto nevydáva núdzovú opravu. Namiesto toho odporúča vypnúť funkciu session upload progress (sledovanie priebehu nahrávania súborov v rámci relácie) až do vydania opravy v nasledujúcom pravidelnom vydaní.
Upozornenie vyšlo 23. októbra v krátkom informačnom bulletine. Nadväzuje na núdzové vydanie z 21. októbra, ktoré opravilo dve kritické chyby PHP2Shell, CVE-2026-109618 a CVE-2026-109619. Tie umožňovali útočníkovi bez používateľského účtu spustiť kód na serveri. Záplaty vyšli vo verziách PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Nový problém je samostatný a týmito vydaniami opravený nie je.
Ohrozené je len úzke nastavenie
PHP uvádza, že problém môže nastať, ak webová aplikácia splní všetky tieto podmienky:
- v konfigurácii nastaví voľbu session.serialize_handler na php_binary alebo php_serialize,
- počas behu túto voľbu zmení na php volaním ini_set(),
- túto zmenu urobí ešte pred volaním session_start().
Zároveň musí byť stále zapnutá funkcia session upload progress. Aplikácia, ktorá počas behu serialize handler nemení, môže mať túto funkciu zapnutú a touto cestou nie je ohrozená. PHP uvádza, že takéto nastavenie je v praxi nepravdepodobné.
Mitigácia
Opatrenie je jednoriadkové: PHP odporúča nastaviť session.upload_progress.enabled=0 až do nasledujúceho pravidelného vydania s opravami. Ide o rovnaké nastavenie, ktoré už uviedlo ako mitigáciu v bulletine z 21. októbra k CVE-2026-109619.
Kto ho vtedy aplikoval a ponechal, nemusí pre nový problém robiť nič ďalšie. Session upload progress je predvolene zapnutý a umožňuje aplikácii sledovať priebeh nahrávania súboru.
Keďže ide o nezvyčajné nastavenie, PHP rieši opravu v rámci bežného vydavateľského cyklu, nie ako núdzovú udalosť. Úplný bulletin k CVE-2026-115560 zverejní s nasledujúcim vydaním.
Čo zatiaľ nie je známe
PHP neuviedlo, ktoré verzie sú zasiahnuté, v ktorých vydaniach bude oprava ani skóre závažnosti. Nepovedalo ani, či má nový problém rovnakú základnú príčinu ako CVE-2026-109619.
O zneužití CVE-2026-115560 zatiaľ nie sú hlásenia. Útoky zaznamenané od 21. októbra mierili na dve skoršie chyby PHP2Shell.
Zdroj: The Hacker News