Fil-qosor: CVE-2026-115560 hija nota li php.net ippubblika fit-23 ta' Ottubru 2026. Skontha, eżekuzzjoni ta' kodiċi mill-bogħod hija possibbli biss b'konfigurazzjoni mhux tas-soltu tas-sessjoni. Sal-bugfix release regolari li jmiss ir-rimedju huwa: issettjaw session.upload_progress.enabled=0 fil-livell tas-server u erġgħu ibdew il-workers kollha.
X'inhi CVE-2026-115560?
Jumejn wara l-patches għall-vulnerabbiltajiet ta' PHP2Shell CVE-2026-109618 u CVE-2026-109619, il-proġett PHP ippubblika avviż ieħor. CVE-2026-115560 tikkonċerna l-ipproċessar tas-sessjonijiet ta' PHP flimkien mal-funzjoni session upload progress, li tpoġġi l-progress tal-uploads tal-fajls li għaddejjin fis-sessjoni.
Skont php.net, eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod hija possibbli, imma biss b'konfigurazzjoni mhux tas-soltu. L-advisory sħiħ bid-dettalji kollha għandu jiġi mal-bugfix release regolari li jmiss. Sa dakinhar l-għarfien huwa apposta skars.
X'jagħmel is-session upload progress?
Session upload progress huwa funzjoni ta' kumdità ta' PHP. Meta viżitatur jgħabbi fajl akbar, PHP waqt l-upload jikteb kontinwament fis-sessjoni informazzjoni dwar il-progress: kemm data wasal diġà u liema fajl qed jiġi trasferit bħalissa. Applikazzjoni tista' tistaqsi dawn l-indikazzjonijiet b'mod parallel u minnhom tibni bar tal-progress.
Fil-prattika jużawha ftit applikazzjonijiet, għax formoli moderni tal-upload ġeneralment ikejlu l-progress direttament fil-browser. F'PHP, madankollu, il-funzjoni hija mixgħula b'mod standard. Għalhekk tidher kemm f'CVE-2026-115560 kif ukoll fil-miżuri temporanji kontra PHP2Shell: dak li mhux meħtieġ għandu jkun mitfi.
Meta server huwa affettwat minn CVE-2026-115560?
Skont l-avviż ta' php.net, tliet kundizzjonijiet iridu jikkonkorru:
- Fil-konfigurazzjoni, bħala
session.serialize_handlerhemm il-valurphp_binaryjewphp_serialize. - L-applikazzjoni tibdel dan il-valur waqt it-tħaddim permezz ta'
ini_set()għalphp, qabel ma ssejjaħsession_start(). - Session upload progress huwa attiv.
Il-valur standard ta' session.serialize_handler huwa php. Bidla fil-konfigurazzjoni u rritorn lura fil-kodiċi mhix tas-soltu, imma sseħħ f'żviluppi proprji li kibru maż-żmien jew f'libreriji bi trattament proprju tas-sessjonijiet. Jekk dan japplikax għalikom jista' jiġi vverifikat.
Kif tivverifikaw il-konfigurazzjoni tagħkom
L-ewwel il-valuri effettivi. Is-CLI tista' taqra php.ini differenti minn PHP-FPM jew mod_php; għalhekk iċċekkjaw ukoll il-konfigurazzjoni tas-server tal-web jew tal-pool FPM.
php -i | grep -E "session.serialize_handler|session.upload_progress.enabled"
grep -rn "serialize_handler\|upload_progress" /etc/php/ 2>/dev/null # path differenti skont id-distribuzzjoni
Imbagħad il-kodiċi tal-applikazzjoni. It-tfittxija li ġejja hija biss ta' qari u turi postijiet fejn il-handler jiġi ssettjat waqt it-tħaddim:
grep -rn "session.serialize_handler" /var/www/ --include="*.php"
Jekk it-tfittxija ma ssib xejn u l-handler fil-konfigurazzjoni huwa php, il-kombinazzjoni deskritta mhix probabbli. Għandkom xorta titfu s-session upload progress, għax php.net isemmi l-istess issettjar bħala miżura temporanja kontra PHP2Shell.
Rimedju: session.upload_progress.enabled=0
Issettjaw il-valur fil-php.ini, fil-pool FPM jew fil-konfigurazzjoni tas-server. Skont php.net espliċitament mhux permezz ta' ini_set() jew .user.ini, għax hemmhekk jaħdem tard wisq jew jista' jiġi sovrascrit mill-applikazzjoni.
; php.ini (għall-pools u l-SAPIs kollha li jaqraw dan il-fajl)
session.upload_progress.enabled = 0
; jew fil-pool FPM
php_admin_flag[session.upload_progress.enabled] = off
# Apache b'mod_php, fil-VirtualHost jew fil-konfigurazzjoni tas-server
php_admin_flag session.upload_progress.enabled off
Wara erġgħu ibdew il-workers kollha ta' PHP, pereżempju systemctl restart php8.3-fpm jew Apache fil-każ ta' mod_php. L-ismijiet tal-pakketti u tas-servizzi jvarjaw skont id-distribuzzjoni. Mingħajr restart l-issettjar il-qadim ikompli jaħdem. Aktar dwar dan f'Restart ta' PHP-FPM u tal-workers kollha.
Wara r-restart iċċekkjaw jekk l-issettjar jaħdimx tassew: fil-kuntest tal-web, mhux biss fuq il-linja tal-kmand. Paġna phpinfo mwaqqfa għal ftit żmien u protetta mill-aċċess turi l-valur effettiv; ħassruha minnufih wara.
Klassifikazzjoni ħdejn PHP2Shell
CVE-2026-115560 hija ferm aktar dejqa miż-żewġ vulnerabbiltajiet ta' PHP2Shell, li jaħdmu fil-modalitajiet tat-tħaddim tas-soltu mingħajr konfigurazzjoni speċjali. Min bħalissa jrid jipprijoritizza għandu l-ewwel jinstalla l-aġġornament ta' PHP2Shell u wara jissettja session.upload_progress.enabled=0. It-tnejn flimkien huma fattibbli f'tieqa ta' manutenzjoni waħda.
Għad-direzzjoni u għal min mhux tekniku: CVE-2026-115560 mhix raġuni għall-inkwiet, imma punt fuq il-lista. L-issettjar jitwettaq malajr, ftit li xejn japplikazzjoni tħossu, u fl-istess ħin ikopri waħda mill-miżuri temporanji kontra PHP2Shell. Il-miżuri temporanji l-oħra ta' php.net jinsabu f'Miżuri immedjati jekk għad ma tistgħux tippatchjaw, u indikazzjonijiet ġenerali dwar il-konfigurazzjoni tas-sessjonijiet f'Kif tissiguraw is-sessjonijiet f'PHP.
Dak li għadna ma nafux: liema verżjonijiet ta' PHP huma affettwati eżattament u liema release iġib il-korrezzjoni. Naġġornaw din il-paġna hekk kif jidher l-advisory.
Kif tgħin PHP SOS b'mod konkret?
Fil-qafas tat-tisħiħ tas-server napplikaw ir-rimedju b'mod permanenti u li jista' jiġi vverifikat:
- Naqraw il-konfigurazzjoni: valuri effettivi tas-sessjoni għal kull SAPI, pool u virtual host.
- Infittxu fil-kodiċi: postijiet fejn il-handler jew l-għażliet tas-sessjoni jinbidlu waqt it-tħaddim.
- Nitfu fil-post it-tajjeb: fil-php.ini, fil-pool jew fil-konfigurazzjoni tas-server, mhux sovrascrivibbli mill-applikazzjoni, segwit minn restart.
- Insegwu: Meta joħroġ il-bugfix release, ninstallawh u niddokumentaw l-istat.
Mistoqsijiet frekwenti
CVE-2026-115560 hija parti minn PHP2Shell?
L-avviż wasal jumejn wara l-patches ta' PHP2Shell u jikkonċerna wkoll PHP innifsu. Madankollu hija vulnerabbiltà separata b'numru CVE proprju u taħdem biss b'konfigurazzjoni speċifika u mhux tas-soltu. L-aġġornamenti ta' PHP2Shell tal-21 ta' Ottubru ma jirranġawhiex, skont l-istat sa issa.
Hemm diġà aġġornament kontra CVE-2026-115560?
Skont l-istat tal-25/10/2026 le. php.net jħabbar li l-advisory sħiħ jiġi mal-bugfix release regolari li jmiss. Sa dakinhar session.upload_progress.enabled=0 huwa r-rimedju rakkomandat.
X'jinkiser jekk nitfi s-session upload progress?
Il-funzjoni tirrapporta lill-applikazzjoni l-progress tal-uploads tal-fajls li għaddejjin. Biss applikazzjonijiet li jimplimentaw bar tal-progress bħal dan permezz ta' din il-funzjoni ta' PHP jitilfu l-indikazzjoni. L-upload innifsu jkompli jaħdem.