PHP назвала способ защиты от RCE-уязвимости без патча
Администраторам сайтов на PHP нужно отключить отслеживание хода загрузки сессии, чтобы временно защитить системы от новой уязвимости удалённого выполнения кода.
Команда безопасности PHP сообщила о проблеме CVE-2026-115560: исправления для неё ещё нет, а риск затрагивает серверы с необычным сочетанием настроек и кода приложения.
Для эксплуатации уязвимости приложение должно задать параметру session.serialize_handler значение php_binary или php_serialize, а затем переключить его на php во время работы с помощью ini_set() перед вызовом session_start(). Кроме того, должна оставаться включённой функция отслеживания хода загрузки сессии. По словам команды PHP, уязвимость требует редкого набора условий. Если приложение не меняет обработчик сериализации во время работы, отключать эту функцию не нужно.
До выхода исправления разработчики рекомендуют установить параметр session.upload_progress.enabled=0. Если администратор уже применил эту настройку в среду, дополнительных действий не требуется. Полное описание уязвимости команда обещает выпустить вместе со следующим обновлением PHP.
По оценке VirusTotal, в интернете доступно более 5,1 млн хостов на PHP, и примерно у 3,8 млн из них открыт хотя бы один порт, который может подвергаться атакам. PHP используют почти 70% сайтов в интернете, однако новая уязвимость затрагивает не все конфигурации.
Рекомендацию отключить загрузку сессий разработчики дали в среду, перед выпуском исправлений для двух других критических уязвимостей удалённого выполнения кода, CVE-2026-109618 и CVE-2026-109619. Вместе их называют PHP2Shell. После публикации исправлений исследователи сообщили о попытках атаковать эти уязвимости, но доступные эксплойты не работали.
Специалисты Amazon Threat Intelligence заявили, что атаки на PHP2Shell начались за четыре дня до выхода обновлений. Руководитель информационной безопасности Amazon Web Services Си Джей Мозес сообщил, что попытки могли исходить от нескольких групп, но неизвестно, привела ли хоть одна из них к успешному взлому. Команда Dataminr также сообщала о сканировании и применении неработающих эксплойтов, не выявив подтверждённых компрометаций.
