Третья уязвимость PHP с идентификатором CVE-2026-115560 обнаружена в разгар истории вокруг PHP2Shell, но экстренный патч для неё выпускать не будут. Для русскоязычных команд, поддерживающих сайты и сервисы на PHP, это не повод игнорировать инцидент: уязвимость PHP2Shell затронула критичный слой веб-стека, а новый сценарий стоит закрыть одной настройкой уже сейчас.
О находке сообщает The Register со ссылкой на PHP Foundation. Фонд зарезервировал CVE-2026-115560 и планирует включить исправление в ближайший штатный bugfix-релиз PHP. По оценке команды безопасности проекта, для эксплуатации требуется настолько специфическое сочетание конфигурации и кода приложения, что практическое применение атаки маловероятно.
Новая проблема относится к удалённому выполнению кода, однако не повторяет масштаб двух уязвимостей, которые на этой неделе объединили под названием PHP2Shell: CVE-2026-109618 и CVE-2026-109619. Их PHP Foundation раскрыла и исправила в среду. Ошибки связаны с безопасностью памяти в PHP — языке, который используется примерно на 70% сайтов, где известен серверный язык программирования. При таком охвате даже неподтверждённая техника атаки быстро превращается в работу для SOC, DevOps и владельцев инфраструктуры.
Для CVE-2026-115560 должна совпасть цепочка из нескольких условий. Приложение обязано сначала использовать обработчик сериализации сессий php_binary или php_serialize, затем во время работы переключить его на php через ini_set() и только после этого вызвать session_start(). Дополнительно должна быть включена функция отслеживания прогресса загрузки файлов в сессиях. Такая комбинация действительно не похожа на типовую конфигурацию, но аудит по поиску странных исторических настроек обычно дешевле разбора последствий RCE.
До регулярного обновления PHP Foundation рекомендует явно установить session.upload_progress.enabled=0. Это полностью устраняет описанный маловероятный вектор. Командам разработки имеет смысл проверить не только глобальный php.ini, но и параметры виртуальных хостов, контейнерные образы, конфигурации PHP-FPM и вызовы ini_set() в старом прикладном коде. Отключение прогресса загрузки может затронуть интерфейс загрузки крупных файлов, поэтому изменение лучше проверить на пользовательских сценариях, а не вносить вслепую в production.
Основной риск по-прежнему связан с первыми двумя CVE. Исполнительный директор PHP Foundation Элизабет Баррон заявила, что у фонда нет подтверждений успешной эксплуатации уязвимостей, раскрытых в среду, до публичного раскрытия, а также нет данных об атаках на обновлённые версии PHP. Фонд работает по инциденту с OpenAI, Wiz и Calif; новых проблем на пропатченных системах эти организации не сообщили.
Это не означает, что можно отложить обновление. Исследователи фиксируют попытки эксплуатации, а в открытом доступе появились proof-of-concept. Технический директор Mandiant Чарльз Кармакал предупредил, что угроза жизнеспособна и серьёзна, хотя признаков массовых успешных компрометаций пока нет. По его словам, часть опубликованных PoC выглядит как быстро сгенерированный код и не выполняет удалённый код, но некоторые варианты исследователи подтвердили: они работают против стандартных развёртываний mod_php, но не PHP-FPM.
Для бизнеса здесь важна не только собственно уязвимость PHP2Shell, но и различие между средами исполнения. Инвентаризация PHP-версий и проверка факта установки патчей должны быть привязаны к конкретным серверам и образам, а не к формальному тикету «обновить PHP». Если публичный сервис всё ещё использует mod_php, его стоит выделить в приоритетную очередь проверки. Полезно также посмотреть логи веб-сервера, WAF и EDR на аномальные запросы и попытки запуска процессов от имени веб-пользователя.
Третья CVE не меняет главный вывод недели: экосистема PHP получила наглядное напоминание, что скорость появления PoC почти не оставляет времени на согласования. CVE-2026-115560 можно закрыть конфигурацией, а уязвимость PHP2Shell — установленными обновлениями. В ближайшие дни наиболее показательной метрикой будет не число опубликованных эксплойтов, а доля интернет-сервисов, которые успели обновить PHP до того, как рабочие цепочки атак станут рутиной для злоумышленников.