Команда PHP предупредила о новой уязвимости CVE-2026-115560, которая позволяет удаленно выполнить код на веб-сервере. Уведомление вышло 23 октября, через два дня после экстренных исправлений критических уязвимостей PHP2Shell.
Уведомление команды PHP об уязвимости CVE-2026-115560 на сайте php.net. Изображение: Comss.ru
Новая уязвимость затрагивает только веб-приложения с необычной конфигурацией, и разработчики считают ее эксплуатацию маловероятной. Поэтому экстренного исправления не будет: до следующего планового выпуска команда PHP рекомендует отключить функцию отслеживания хода загрузки файлов в сессии (session upload progress).
Какие приложения затронуты
По данным PHP, уязвимость проявляется только при необычном сочетании конфигурации и кода приложения. Должны выполняться все три условия:
- В конфигурации параметру session.serialize_handler задано значение php_binary или php_serialize.
- Во время работы приложение меняет это значение на php с помощью ini_set(), причем до вызова session_start().
- Функция session upload progress включена.
Функция session upload progress включена по умолчанию и позволяет приложению отслеживать ход загрузки файла. Приложения, которые не меняют обработчик сериализации во время работы, могут оставить ее включенной. В PHP считают, что такая конфигурация на практике маловероятна.
Как защититься до выхода исправления
До следующего планового выпуска с исправлениями ошибок команда PHP рекомендует задать параметр:
session.upload_progress.enabled=0
Эту же настройку команда PHP уже указывала 21 октября в бюллетене GHSA-6wmf-4rv5-p3rp как временную меру защиты от CVE-2026-109619 – одной из уязвимостей PHP2Shell. Если ее применили тогда и не отменяли, для защиты от новой уязвимости больше ничего делать не нужно.
В бюллетене уточняется, что параметр нужно задать в конфигурации сервера, а не в коде приложения, и перезапустить все рабочие процессы PHP. Там же советуют не включать функцию и после установки исправлений, если она не нужна: злоумышленники все активнее ищут уязвимости в этой редко используемой и плохо протестированной функции.
По данным The Hacker News, новая уязвимость – отдельная проблема, и вышедшие 21 октября PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 ее не устраняют. Команда PHP исправит ее в рамках обычного цикла выпусков и опубликует полный бюллетень по CVE-2026-115560 вместе со следующим выпуском. Какие версии затронуты, в каких выпусках появится исправление и насколько опасна уязвимость, разработчики пока не сообщили. Не уточняется и то, связана ли она по происхождению с CVE-2026-109619.
Сообщений об эксплуатации CVE-2026-115560 в реальных атаках нет.
Атаки на уязвимости PHP2Shell
Попытки эксплуатации двух уязвимостей PHP2Shell, CVE-2026-109618 и CVE-2026-109619, тем временем продолжаются. По данным The Hacker News, ловушки (honeypot) Amazon зафиксировали попытку их эксплуатации 17 октября – за четыре дня до раскрытия. Cloudflare сообщала, что число попыток выросло с десятков тысяч в первые 45 минут после раскрытия 21 октября до миллионов к утру 22 октября.
По данным Sophos и Arctic Wolf, злоумышленники пытались с помощью этих уязвимостей установить вариант ботнета Mirai. Пока такие попытки безуспешны: Previdian, Wordfence и другие компании фиксируют сканирование и проверку серверов, но подтвержденных случаев выполнения кода нет. Исследователи отмечают, что создать надежный эксплойт оказалось сложнее, чем ожидалось.
Эта активность направлена на две уязвимости, исправленные 21 октября, а не на CVE-2026-115560.
