Разработчики проекта PHP предупредили о выявлении ещё одной уязвимости (CVE-2026-115560), которая потенциально может использоваться для удалённого выполнения кода на сервере при определённом редком сочетании нестандартных настроек (не в конфигурации по умолчанию) и выполняемого PHP-кода. Подробности о уязвимости намерены опубликовать после готовности очередных корректирующих выпусков PHP.

В качестве обходного пути защиты рекомендуется выставить в php.ini параметр «session.upload_progress.enabled=0», который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра «session.serialize_handler», выставленного в значение «php_binary» или «php_serialize», и изменения этого парамтера в PHP-коде на значение «php» через функцию «ini_set()» на стадии до вызова функции session_start().

Источник: http://www.opennet.ru/opennews/art.shtml?num=66534