RCE-уязвимость PHP с идентификатором CVE-2026-115560 стала известна спустя два дня после экстренных исправлений критических проблем PHP2Shell. Проект PHP не выпускает внеплановый патч: риск затрагивает редкую комбинацию настроек, но разработчикам и администраторам стоит проверить конфигурации уже сейчас — особенно если приложения меняют обработчик сериализации сессий во время работы.
Предупреждение опубликовано 23 октября, сообщает The Hacker News. Новая RCE-уязвимость PHP не связана с обновлениями 21 октября, закрывшими CVE-2026-109618 и CVE-2026-109619. Те две проблемы позволяли неаутентифицированному атакующему запускать код на сервере; исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. CVE-2026-115560 этими версиями не устраняется и получит полноценное исправление в одном из штатных bugfix-релизов.
Чтобы новая проблема стала эксплуатационной, приложению нужно одновременно попасть в довольно узкий сценарий. В конфигурации параметр session.serialize_handler должен быть задан как php_binary или php_serialize; затем код приложения должен изменить его на php через ini_set(), причём сделать это до вызова session_start(). Наконец, должна оставаться включённой функция отслеживания прогресса загрузки файлов в сессии — session upload progress. Если приложение не меняет обработчик сериализации на лету, именно этот путь атаки для него не работает.
Временная мера занимает одну строку в конфигурации: session.upload_progress.enabled=0. Этот параметр отключает механизм, позволяющий приложению отслеживать ход загрузки файлов, и закрывает описанный в advisory вектор до выхода штатного исправления. Любопытная деталь: то же отключение PHP уже рекомендовала как одну из мер защиты от CVE-2026-109619. Команды, которые применили рекомендацию после экстренных релизов 21 октября и не вернули настройку обратно, дополнительных действий для CVE-2026-115560 не требуют.
Решение не выпускать hotfix выглядит прагматично, но оставляет неприятный хвост для инвентаризации. Session upload progress включён по умолчанию, тогда как редкость сценария определяется не самим параметром, а сочетанием с динамической сменой session.serialize_handler. Обычного сканирования установленной версии PHP здесь недостаточно: нужно искать вызовы ini_set(), связанные с настройками сессий, и сверять порядок инициализации. В старых фреймворках, самописных загрузчиках и приложениях с накопившимися конфигами такие детали обычно живут дольше, чем хотелось бы их владельцам.
При этом текущая RCE-уязвимость PHP не должна затмевать более срочную историю с PHP2Shell. По данным Amazon, её honeypots зафиксировали попытку эксплуатации CVE-2026-109618 и CVE-2026-109619 ещё 17 октября — за четыре дня до публичного раскрытия. Cloudflare сообщила, что после публикации 21 октября число попыток выросло от десятков тысяч в первые 45 минут до миллионов к началу 22 октября. Это атаки на две уже исправленные критические уязвимости, а не на CVE-2026-115560.
Исследователи Sophos и Arctic Wolf наблюдали попытки использовать PHP2Shell для установки варианта ботнета Mirai. Пока кампании не дали подтверждённого удалённого выполнения кода: Previdian, Wordfence и другие участники рынка видят сканирование и зондирование, а надёжный эксплойт, по оценке исследователей, оказался сложнее в разработке, чем можно было предположить по уровню шума. Рассчитывать на эту сложность как на средство защиты — примерно как считать закрытой дверь, которую пока не научились открывать отмычкой.
Для владельцев PHP-сервисов приоритет очевиден: сначала подтвердить обновление до версий с патчами PHP2Shell, затем отключить session.upload_progress.enabled или документально убедиться, что приложение не использует опасную последовательность настроек. PHP пока не назвало затронутые версии, оценки severity и релизы с исправлением CVE-2026-115560; также неизвестно, имеет ли проблема общий корень с CVE-2026-109619. Отсутствие сообщений об атаках даёт время на аккуратную проверку, но не повод превращать временную меру в задачу без владельца и срока.
