La două zile după ce a publicat remedieri de urgență pentru vulnerabilitățile PHP2Shell, proiectul PHP a avertizat asupra unei noi probleme care ar putea permite execuția de cod pe un server web. Identificată drept CVE-2026-115560, aceasta necesită o configurare neobișnuită, iar PHP nu pregătește deocamdată un patch de urgență.
Avertismentul a apărut într-o informare publicată pe 23 octombrie. Problema este distinctă de CVE-2026-109618 și CVE-2026-109619, remediate pe 21 octombrie, iar versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35 nu o rezolvă.
Riscul apare doar după o succesiune precisă de setări
Potrivit PHP, vulnerabilitatea poate apărea dacă aplicația configurează opțiunea session.serialize_handler la php_binary sau php_serialize, apoi o schimbă în timpul execuției la php folosind ini_set(). Schimbarea trebuie făcută înainte de apelul session_start(), iar progresul încărcării sesiunilor trebuie să fie activ.
Prin urmare, nu este suficient ca aplicația să aibă activă funcția de urmărire a încărcării fișierelor. Dacă nu schimbă handlerul de serializare în timpul execuției, această cale de atac nu o expune; proiectul PHP descrie configurația vulnerabilă drept improbabilă în practică.
Măsura recomandată este dezactivarea funcției prin setarea session.upload_progress.enabled=0, până la următoarea versiune regulată de corecții. Opțiunea este activată implicit și permite unei aplicații să urmărească progresul încărcării unui fișier; aceeași setare figura deja printre măsurile de atenuare recomandate pe 21 octombrie pentru CVE-2026-109619.
Noua avertizare vine pe fondul atacurilor asupra PHP2Shell
Administratorii care au aplicat recomandarea din 21 octombrie și au lăsat setarea dezactivată nu trebuie să facă nimic în plus pentru CVE-2026-115560. PHP va include remedierea în ciclul obișnuit de lansare și spune că va publica o informare completă odată cu următoarea versiune.
Deocamdată, proiectul nu a precizat ce versiuni sunt afectate, în ce versiuni va ajunge corecția sau ce scor de severitate are problema. Nici nu a clarificat dacă noua vulnerabilitate are aceeași cauză tehnică precum CVE-2026-109619; pentru CVE-2026-115560 nu au fost raportate exploatări.
În schimb, atacurile observate vizează cele două vulnerabilități PHP2Shell anterioare. Amazon a declarat că honeypoturile sale au înregistrat, pe 17 octombrie, o tentativă de exploatare a ambelor CVE-uri, cu patru zile înainte de divulgare, iar Cloudflare a raportat o creștere de la zeci de mii de încercări în primele 45 de minute după anunțul din 21 octombrie la milioane până la începutul zilei de 22 octombrie.
Ce trebuie să verifice organizațiile din România și UE
Sophos și Arctic Wolf au semnalat încercări de folosire a vulnerabilităților PHP2Shell pentru instalarea unei variante de botnet Mirai. Până acum, tentativele au eșuat: Previdian, Wordfence și alte organizații au observat scanări și sondări, dar nu au confirmat execuția de cod, iar cercetătorii spun că realizarea unui exploit fiabil s-a dovedit mai dificilă decât se anticipa.
Pentru companiile și instituțiile din România și UE, prioritatea este verificarea configurațiilor PHP, în special a apelurilor ini_set() și a ordinii în care sunt setate opțiunile sesiunii. Dezactivarea progresului încărcărilor este o măsură cu aplicare directă, dar echipele trebuie să țină cont că poate modifica funcționarea aplicațiilor care se bazează pe această telemetrie.
Organizațiile ar trebui să confirme că remedierile PHP2Shell din versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35 au fost instalate, apoi să urmărească anunțurile PHP pentru detalii despre noua corecție. Separat, monitorizarea tentativelor de exploatare rămâne necesară: amploarea scanărilor raportate nu înseamnă, de una singură, că un server a fost compromis.
