Команда PHP сообщила об уязвимости CVE-2026-115560, которая при определённых условиях позволяет удалённо выполнять код на сервере. В конфигурации по умолчанию проблема не проявляется.
Уязвимость возникает, если в настройках параметр session.serialize_handler выставлен в значение php_binary или php_serialize, а PHP-код через функцию ini_set() меняет его на php до вызова session_start(). Подробности разработчики обещают раскрыть после выхода очередных корректирующих выпусков.
Пока обновлений нет, защититься можно, выставив в php.ini параметр session.upload_progress.enabled=0. Полностью закрыть уязвимость, по заявлению команды, можно только установкой обновления.
Ранее команда безопасности PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для уже не поддерживаемых веток 7.4, 8.0 и 8.1 с исправлением критических уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619), которые тоже могли привести к удалённому выполнению кода. Администраторов призвали установить обновления.