PHP: ще одна вразливість без патча (CVE-2026-115560) і як закрити її налаштуванням
23 жовтня команда PHP опублікувала інформаційну рекомендацію про помилку в завантаженні прогресу сесії (session upload progress), яка може призвести до виконання коду на сервері. Виправлення вийде в найближчому звичайному релізі, термінового патча немає. Для атаки потрібна рідкісна конфігурація, про експлуатацію станом на 23 жовтня не повідомлялося.
Кого стосується
Лише сайти й застосунки на PHP, де одночасно: у налаштуваннях задано session.serialize_handler = php_binary або php_serialize, код змінює його на php через ini_set() до session_start(), і ввімкнено session.upload_progress. Якщо застосунок не змінює обробник сесій на льоту, цей сценарій його не стосується. Зачеплені версії PHP команда поки не розкрила.
Як перевірити в себе
Подивіться в php.ini, пулі PHP-FPM і в коді сайту, чи є ini_set('session.serialize_handler', ...), і перевірте значення session.upload_progress.enabled командою php -i або в панелі хостингу.
Як виправити
Вимкніть session.upload_progress.enabled = 0 у php.ini, пулі PHP-FPM або конфігурації сервера (не через ini_set) і перезапустіть PHP. Це саме налаштування вже рекомендоване проти PHP2Shell: якщо ви його вмикали, додаткових дій не потрібно. Коли вийде звичайний реліз з виправленням, оновіть PHP.
Що перевіряє Shield не перевіряється
Ззовні конфігурацію сесій побачити не можна, тому Shield цю загрозу не перевіряє, і ми не вдаємо, що перевіряє. Перевірити в себе можна за кроками вище.
Важливо знати
Подробиці (причина помилки, зачеплені версії, оцінка серйозності) команда PHP поки не розкрила, їх обіцяно разом з виправленням. Наші сервери ми перевірили: потрібна конфігурація сесій не використовується, session.upload_progress у нас вимкнено.
