PHP objavio privremenu meru za ranjivost bez zakrpe

PHP tim je u petak objavio bezbednosno upozorenje za ranjivost CVE-2026-115560 koja omogućava izvršavanje koda na daljinu. Zakrpe još nema, a propust pogađa sisteme sa nestandardnim podešavanjima.

Da bi server bio ranjiv, aplikacija mora u podešavanjima da postavi session.serialize_handler na php_binary ili php_serialize, a zatim da ga u toku rada promeni na php pomoću ini_set() pre poziva session_start(). Mora biti uključeno i praćenje napretka otpremanja sesije.

PHP tim navodi da aplikacije koje nikada ne menjaju serialize handler u toku rada mogu da ostave tu funkciju uključenu. Pošto je takva kombinacija u praksi retka, zakrpa će biti objavljena u redovnom ciklusu, a puno bezbednosno upozorenje uz sledeće izdanje.

Šta uraditi

• Postaviti session.upload_progress.enabled=0 u PHP podešavanjima dok ne stigne zakrpa.
• Ako je mera već primenjena zbog PHP2Shell, dodatne akcije nisu potrebne.

PHP podseća da je isto podešavanje trebalo primeniti i pre zakrpa za dve kritične ranjivosti objedinjene pod nazivom PHP2Shell. Prema procenama VirusTotal-a, na internetu je izloženo više od 5,1 milion PHP hostova, a oko 3,8 miliona ima otvoren bar jedan port.