CVE-2026-115560: märkus Session Upload Progress kohta

Lühidalt: CVE-2026-115560 on märkus, mille php.net avaldas 23. oktoobril 2026. Selle järgi on kaugkäivitus võimalik ainult ebatavalise sessiooniseadistuse korral. Kuni järgmise tavapärase veaparanduste väljalaskeni on abinõu: määrata session.upload_progress.enabled=0 serveri poolel ja käivitada kõik tööprotsessid uuesti.

Mis on CVE-2026-115560?

Kaks päeva pärast PHP2Shelli turvaaukude CVE-2026-109618 ja CVE-2026-109619 paiku avaldas PHP projekt veel ühe märkuse. CVE-2026-115560 puudutab PHP sessioonide töötlemist seoses funktsiooniga Session Upload Progress, mis salvestab käimasolevate failide üleslaadimiste edenemise sessiooni.

php.net-i järgi on kahjuliku koodi kaugkäivitus võimalik, kuid ainult ebatavalise seadistuse korral. Täielik turvasoovitus (advisory) kõigi üksikasjadega peaks järgnema järgmise tavapärase veaparanduste väljalaskega. Seni on teadmiste seis teadlikult napp.

Mida Session Upload Progress teeb?

Session Upload Progress on PHP mugavusfunktsioon. Kui külastaja laeb üles suurema faili, kirjutab PHP üleslaadimise ajal sessiooni jooksvalt edenemise andmeid: kui palju andmeid on juba kohale jõudnud ja millist faili parajasti edastatakse. Rakendus saab neid andmeid paralleelselt pärida ja neist edenemisriba ehitada.

Praktikas kasutab seda vähe rakendusi, sest kaasaegsed üleslaadimisvormid mõõdavad edenemist tavaliselt otse brauseris. PHP-s on funktsioon aga vaikimisi sisse lülitatud. Seetõttu ilmub see nii CVE-2026-115560 kui ka PHP2Shelli vastaste ajutiste meetmete juures: mida ei vajata, peaks olema välja lülitatud.

Millal on server CVE-2026-115560 poolt mõjutatud?

php.net-i märkuse järgi peavad kokku langema kolm tingimust:

1. Seadistuses on session.serialize_handler väärtuseks php_binary või php_serialize.
2. Rakendus lülitab selle väärtuse käitusajal ini_set() abil väärtusele php, enne kui kutsub välja session_start().
3. Session Upload Progress on aktiivne.

session.serialize_handler vaikeväärtus on php. Ümberlülitamine seadistuses ja tagasilülitamine koodis on ebatavaline, kuid esineb arenenud oma arendustes või teekides oma sessioonikäsitlusega. Kas see teie puhul kehtib, saab kontrollida.

Nii kontrollite oma seadistust

Kõigepealt kehtivad väärtused. CLI võib lugeda teist php.ini-d kui PHP-FPM või mod_php; kontrollige seetõttu ka veebiserveri või FPM-i pooli seadistust.

php -i | grep -E "session.serialize_handler|session.upload_progress.enabled"
grep -rn "serialize_handler\|upload_progress" /etc/php/ 2>/dev/null   # tee on distributsiooniti erinev

Seejärel rakenduse kood. Järgmine otsing on puhtalt lugev ja näitab kohti, kus handler käitusajal määratakse:

grep -rn "session.serialize_handler" /var/www/ --include="*.php"

Kui otsing midagi ei leia ja handler on seadistuses php, on kirjeldatud kombinatsioon ebatõenäoline. Session Upload Progress'i peaksite siiski välja lülitama, sest php.net nimetab sama sätet ka ajutise meetmena PHP2Shelli vastu.

Abinõu: session.upload_progress.enabled=0

Määrake väärtus php.ini-s, FPM-i poolis või serveri seadistuses. php.net-i järgi selgesõnaliselt mitte ini_set() ega .user.ini kaudu, sest seal rakendub see liiga hilja või rakendus võib selle üle kirjutada.

; php.ini (kõigile poolidele ja SAPI-dele, mis seda faili loevad)
session.upload_progress.enabled = 0

; või FPM-i poolis
php_admin_flag[session.upload_progress.enabled] = off

# Apache koos mod_php-ga, VirtualHostis või serveri seadistuses
php_admin_flag session.upload_progress.enabled off

Seejärel käivitage kõik PHP tööprotsessid uuesti, näiteks systemctl restart php8.3-fpm või mod_php puhul Apache. Paketi- ja teenusenimed erinevad distributsiooniti. Ilma taaskäivituseta jääb vana säte kehtima. Lähemalt lehel PHP-FPM-i ja kõigi tööprotsesside taaskäivitus.

Hinnang PHP2Shelli kõrval

CVE-2026-115560 on selgelt kitsam kui kaks PHP2Shelli turvaauku, mis rakenduvad tavalistes töörežiimides ilma erilise seadistuseta. Kes peab praegu prioriseerima, peaks kõigepealt paigaldama PHP2Shelli uuenduse ja seejärel määrama session.upload_progress.enabled=0. Mõlemad koos on ühes hooldusaknas tehtavad.

Juhtkonnale ja mittetehnikutele: CVE-2026-115560 ei ole põhjus ärevuseks, kuid on punkt loendis. Säte pannakse kiiresti paika, mõjutab vaevu mõnda rakendust märgatavalt ja katab samal ajal ühe PHP2Shelli vastase ajutise meetme. php.net-i teised ajutised meetmed on lehel Kohesed meetmed, kui te veel paigata ei saa, üldised näpunäited sessiooni seadistuse kohta lehel Sessioonide kaitsmine PHP-s.

Mida me veel ei tea: millised PHP versioonid täpselt on mõjutatud ja milline väljalase toob parenduse. Uuendame seda lehte, niipea kui turvasoovitus ilmub.

Kuidas PHP SOS konkreetselt aitab?

Serveri karastamise raames viime abinõu ellu püsivalt ja kontrollitavalt:

• Seadistuse lugemine: kehtivad sessiooniväärtused SAPI, pooli ja virtuaalse hosti kaupa.
• Koodi läbiotsimine: kohad, kus handlerit või sessioonisuvandeid käitusajal muudetakse.
• Väljalülitamine õiges kohas: php.ini-s, poolis või serveri seadistuses, rakendusele üle kirjutamatuna, järgneva taaskäivitusega.
• Jälgimine: kui veaparanduste väljalase ilmub, paigaldame selle ja dokumenteerime seisu.

Korduma kippuvad küsimused

Allikad

• php.net: turvateated
• PHP 8 ChangeLog
• OWASP Cheat Sheets