PHP: ещё одна уязвимость без патча (CVE-2026-115560) и как её закрыть настройкой
23 октября команда PHP опубликовала информационную рекомендацию про ошибку в загрузке прогресса сессии (session upload progress), которая может привести к выполнению кода на сервере. Исправление выйдет в ближайшем обычном релизе, срочного патча нет. Для атаки нужна редкая конфигурация, об эксплуатации на 23 октября не сообщалось.
Кого касается
Только сайты и приложения на PHP, где одновременно: в настройках задан session.serialize_handler = php_binary или php_serialize, код меняет его на php через ini_set() до session_start(), и включён session.upload_progress. Если приложение не меняет обработчик сессий на лету, оно под этот сценарий не подпадает. Затронутые версии PHP команда пока не раскрыла.
Как проверить у себя
Посмотрите в php.ini, пуле PHP-FPM и в коде сайта, есть ли ini_set('session.serialize_handler', ...), и проверьте значение session.upload_progress.enabled командой php -i или в панели хостинга.
Как исправить
Отключите session.upload_progress.enabled = 0 в php.ini, пуле PHP-FPM или конфигурации сервера (не через ini_set) и перезапустите PHP. Эта же настройка уже рекомендована против PHP2Shell: если вы её включили, дополнительных действий не нужно. Когда выйдет обычный релиз с исправлением, обновите PHP.
Что проверяет Shield не проверяется
Снаружи конфигурацию сессий увидеть нельзя, поэтому Shield эту угрозу не проверяет, и мы не делаем вид, что проверяет. Проверить у себя можно по шагам выше.
Важно знать
Подробности (причина ошибки, затронутые версии, оценка серьёзности) команда PHP пока не раскрыла, они обещаны вместе с исправлением. Наши серверы мы проверили: нужная конфигурация сессий не используется, session.upload_progress у нас выключен.
