Echipa de securitate PHP a publicat măsuri de mitigare pentru CVE-2026-115560, o vulnerabilitate de execuție de cod de la distanță (RCE) pentru care nu există încă un patch. Riscul nu se aplică tuturor instalărilor: exploatarea depinde de o combinație neobișnuită între configurația sesiunilor și codul aplicației.
PHP alimentează aproape 70% dintre site-urile web, iar estimările VirusTotal indică peste 5,1 milioane de gazde PHP expuse online, dintre care aproximativ 3,8 milioane au cel puțin un port accesibil atacatorilor. Aceste cifre descriu suprafața potențial expusă, nu numărul sistemelor vulnerabile la CVE-2026-115560.
O succesiune rară de setări deschide calea către RCE
Potrivit avertizării publicate vineri, aplicația trebuie să configureze session.serialize_handler ca php_binary sau php_serialize, apoi să schimbe valoarea la runtime în php folosind ini_set() înainte de apelarea session_start(). În plus, funcția de urmărire a progresului încărcărilor de sesiune trebuie să fie activată.
Echipa PHP precizează că aplicațiile care nu schimbă la runtime handlerul de serializare pot păstra activă funcția de progres al încărcării. Vulnerabilitatea apare numai când condițiile specifice se suprapun, ceea ce reduce aria de expunere, dar nu înlocuiește verificarea configurațiilor și a codului din aplicațiile găzduite.
Până la disponibilitatea unei actualizări de securitate, dezvoltatorii recomandă dezactivarea funcției prin setarea directivei session.upload_progress.enabled=0. Echipa spune că această măsură ar fi trebuit aplicată miercuri, înainte de instalarea patch-urilor pentru două vulnerabilități RCE critice, CVE-2026-109618 și CVE-2026-109619, cunoscute împreună drept PHP2Shell.
Alerta vine după încercări de atac asupra PHP2Shell
Echipa PHP a reparat vulnerabilitățile PHP2Shell la o zi după ce le-a cerut administratorilor să fie pregătiți să instaleze actualizările imediat ce devin disponibile. Înaintea publicării patch-urilor apăruseră coduri de testare a exploitului (PoC), însă echipa a spus că niciunul nu era funcțional.
Cloudflare, watchTowr, Previdian, Hadrian și Patchstack au identificat tentative nereușite înainte de divulgarea publică, după ce detalii despre vulnerabilități, inclusiv identificatorii CVE și recomandări de mitigare transmise unor operatori de infrastructură critică, au ajuns online. Cercetătorii Amazon Threat Intelligence au raportat că atacatorii au început să vizeze PHP2Shell cu patru zile înaintea patch-urilor de miercuri.
CJ Moses, directorul pentru securitate al AWS, a declarat că infrastructura de anonimizare și încărcăturile folosite indicau mai mulți actori, iar analiza tehnică era în curs. El a descris tentativele drept exploatare pe scară largă, dar a precizat că nu era clar dacă vreuna ar fi reușit în sisteme reale; Dataminr a raportat scanări, identificare și exploituri nefuncționale, fără compromiteri cunoscute.
Ce trebuie să verifice administratorii din România și UE
Pentru companiile și instituțiile din România și UE, prioritatea este inventarierea aplicațiilor PHP și verificarea efectivă a valorilor session.serialize_handler, a apelurilor ini_set() și a stării session.upload_progress.enabled. Numărul mare de gazde expuse justifică trierea rapidă, dar nu trebuie confundat cu o dovadă că toate aceste sisteme sunt vulnerabile.
Administratorii ar trebui să aplice mitigarea recomandată, să urmărească anunțurile oficiale PHP pentru patch și să instaleze actualizarea după publicare. Echipele de securitate pot verifica jurnalele pentru activitate suspectă și tentative de acces, însă materialul disponibil nu oferă indicatori tehnici specifici pentru CVE-2026-115560 și nu confirmă exploatări reușite ale acesteia.
Un raport separat, Blue Report 2026, arată că apărările blochează doar 37% dintre acțiunile atacatorilor după folosirea unor credențiale valide, pe baza a 338 de milioane de simulări în medii de producție ale clienților. Cifra nu măsoară riscul acestei vulnerabilități PHP, dar subliniază de ce mitigarea trebuie însoțită de monitorizare și de protejarea conturilor cu acces la infrastructură.
