PHP RCE уязвимость CVE-2026-115560: команда PHP опубликовала mitigation без патча

23 октября 2026 года PHP security team выпустила информационное advisory по уязвимости CVE-2026-115560. Уязвимость позволяет удалённое выполнение кода при определённой комбинации настроек сессий и затрагивает только нестандартные конфигурации.

PHP RCE уязвимость требует редкой последовательности настроек

Для эксплуатации необходимо установить session.serialize_handler в php_binary или php_serialize, затем через ini_set() переключить его на php перед вызовом session_start(). При этом должна оставаться включённой опция session.upload_progress.enabled. PHP security team оценила такую конфигурацию как маловероятную в реальных приложениях.

Уязвимость не затрагивает стандартные настройки по умолчанию. Разработчики PHP планируют исправление в рамках регулярного цикла выпусков, а полный advisory появится вместе со следующим bugfix-релизом.

Организации, которые уже применили отключение session.upload_progress.enabled после 21 октября для устранения уязвимостей PHP2Shell, не нуждаются в дополнительных действиях. Настройка сохраняет силу и для текущей проблемы.

Рекомендованный mitigation и контекст предыдущих исправлений

Для снижения риска до выхода патча необходимо установить session.upload_progress.enabled=0 в php.ini, конфигурации FPM-пула или на уровне сервера до начала обработки запроса. После изменения требуется перезапуск всех рабочих процессов.

21 октября PHP уже выпустил экстренные обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35, закрывающие две критические RCE-уязвимости с оценкой CVSS 9.2. Эти исправления касались другого класса проблем и требовали отдельных патчей PHP2Shell. Версии 8.1 и старше находятся в статусе EOL с ограниченной поддержкой.

На момент публикации advisory публичных эксплойтов для CVE-2026-115560 не зафиксировано. Попытки эксплуатации предыдущих уязвимостей PHP2Shell отмечались до и после раскрытия, однако подтверждённых успешных атак было немного. Следующий регулярный релиз PHP включит исправление CVE-2026-115560.