Новая уязвимость PHP после PHP2Shell: кого касается CVE-2026-115560

23 октября команда PHP опубликовала информационный бюллетень ещё об одной уязвимости — CVE-2026-115560. Это отдельная проблема, не PHP2Shell: выпуски 21 октября (8.5.12, 8.4.27, 8.3.36 и 8.2.35) её не закрывают. Речь снова о механизме session upload progress, через который при определённых условиях можно добраться до удалённого выполнения кода. Внепланового выпуска не будет: разработчики называют сценарий маловероятным и обещают исправление вместе с полным бюллетенем в следующем плановом релизе, дата пока не названа.

Кто под ударом. Уязвимость срабатывает только при редкой комбинации: приложение задаёт в конфигурации session.serialize_handler равным php_binary или php_serialize, затем переключает его на php через ini_set() перед вызовом session_start(), и при этом включён session upload progress. Если код не меняет обработчик сессий на лету, этот путь закрыт. Ядро WordPress сессиями PHP вообще не пользуется, так что для типичного сайта на WordPress цепочка практически не складывается; проверить стоит разве что самописные плагины и сторонние PHP-приложения на том же сервере. Сообщений об атаках именно через CVE-2026-115560 пока нет: атаки, о которых с 21 октября пишут охранные компании, нацелены на две дыры PHP2Shell.

Что делать. Временная мера из бюллетеня — session.upload_progress.enabled=0 в php.ini, в пуле FPM или в конфигурации сервера (не через ini_set() и не в .user.ini) до следующего выпуска. Если вы включали эту настройку 21 октября по рекомендации для CVE-2026-109619, ничего делать не нужно — просто не выключайте её. Команда PHP советует оставить функцию выключенной и после патча, если она не нужна: в бюллетене её называют редко используемой и редко тестируемой. На общем хостинге настройку меняет провайдер — спросите в поддержке, применена ли она.

Наш вывод. Опасной остаётся прежняя история — PHP2Shell, и от неё защищает установленное обновление PHP: проверьте версию в «Инструменты → Здоровье сайта». Новая уязвимость для сайтов на WordPress скорее формальность. Если вы держите PHP на актуальной ветке и работаете с хостером, который за сутки раскатал октябрьские патчи и применил рекомендованные настройки, ваши сайты защищены — и от PHP2Shell, и от этого сценария. Если хостер этого не сделал до сих пор, это повод присмотреться к другому.

Источник: php.net