CVE-2026-115560: indicația privind session upload progress

Pe scurt: CVE-2026-115560 este o indicație publicată de php.net la 23 octombrie 2026. Execuția de cod de la distanță este posibilă, potrivit acesteia, doar la o configurație neobișnuită a sesiunilor. Până la următoarea versiune obișnuită de remediere a erorilor, remediul este: setați session.upload_progress.enabled=0 la nivel de server și reporniți toți workerii.

Ce este CVE-2026-115560?

La două zile după patchurile pentru vulnerabilitățile PHP2Shell CVE-2026-109618 și CVE-2026-109619, proiectul PHP a publicat o nouă indicație. CVE-2026-115560 privește procesarea sesiunilor în PHP, în legătură cu funcția session upload progress, care depune în sesiune progresul încărcărilor de fișiere în curs.

Potrivit php.net, este posibilă o execuție de cod malițios de la distanță, dar numai la o configurație neobișnuită. Advisory-ul complet, cu toate detaliile, urmează să apară odată cu următoarea versiune obișnuită de remediere a erorilor. Până atunci, nivelul de cunoaștere este deliberat restrâns.

Ce face session upload progress?

Session upload progress este o funcție de confort a PHP. Dacă un vizitator încarcă un fișier mai mare, PHP scrie în sesiune, pe durata încărcării, date despre progres: câte date au sosit deja și ce fișier este transferat în acel moment. O aplicație poate interoga aceste date în paralel și poate construi din ele o bară de progres.

În practică, o folosesc puține aplicații, deoarece formularele moderne de încărcare măsoară de obicei progresul direct în browser. În PHP însă, funcția este activată implicit. De aceea apare atât la CVE-2026-115560, cât și la măsurile provizorii împotriva PHP2Shell: ce nu este necesar ar trebui să fie dezactivat.

Când este un server afectat de CVE-2026-115560?

Potrivit indicației php.net, trebuie întrunite trei condiții:

1. În configurație, ca session.serialize_handler este setată valoarea php_binary sau php_serialize.
2. Aplicația comută această valoare la runtime prin ini_set() pe php, înainte de a apela session_start().
3. Session upload progress este activ.

Valoarea implicită a session.serialize_handler este php. O comutare în configurație și o resetare în cod sunt neobișnuite, dar apar în dezvoltări proprii vechi sau în biblioteci cu propria gestionare a sesiunilor. Dacă este cazul la dumneavoastră se poate verifica.

Cum verificați configurația

Mai întâi valorile efective. CLI poate citi alt php.ini decât PHP-FPM sau mod_php; verificați, de aceea, și configurația serverului web sau a pool-ului FPM.

php -i | grep -E "session.serialize_handler|session.upload_progress.enabled"
grep -rn "serialize_handler\|upload_progress" /etc/php/ 2>/dev/null   # calea diferă în funcție de distribuție

Apoi codul aplicației. Căutarea următoare este strict de citire și arată locurile în care handlerul este setat la runtime:

grep -rn "session.serialize_handler" /var/www/ --include="*.php"

Dacă căutarea nu găsește nimic și handlerul din configurație este setat pe php, combinația descrisă este puțin probabilă. Totuși, ar trebui să dezactivați session upload progress, pentru că php.net menționează aceeași setare și ca măsură provizorie împotriva PHP2Shell.

Remediu: session.upload_progress.enabled=0

Setați valoarea în php.ini, în pool-ul FPM sau în configurația serverului. Potrivit php.net, în mod expres nu prin ini_set() sau .user.ini, deoarece acolo acționează prea târziu sau poate fi suprascrisă de aplicație.

; php.ini (pentru toate pool-urile și SAPI-urile care citesc acest fișier)
session.upload_progress.enabled = 0

; sau în pool-ul FPM
php_admin_flag[session.upload_progress.enabled] = off

# Apache cu mod_php, în VirtualHost sau în configurația serverului
php_admin_flag session.upload_progress.enabled off

Apoi reporniți toți workerii PHP, de exemplu systemctl restart php8.3-fpm sau Apache la mod_php. Numele pachetelor și ale serviciilor diferă în funcție de distribuție. Fără repornire, vechea setare rămâne în vigoare. Mai multe la Cum reporniți PHP-FPM și toți workerii.

Încadrare alături de PHP2Shell

CVE-2026-115560 este mult mai restrânsă decât cele două vulnerabilități PHP2Shell, care acționează în modurile de operare obișnuite, fără configurație specială. Cine trebuie să stabilească prioritățile ar trebui să aplice mai întâi actualizarea PHP2Shell și apoi să seteze session.upload_progress.enabled=0. Ambele sunt realizabile într-o singură fereastră de mentenanță.

Pentru conducere și persoanele fără pregătire tehnică: CVE-2026-115560 nu este un motiv de neliniște, dar este un punct pe listă. Setarea se face repede, nu afectează sesizabil aproape nicio aplicație și acoperă totodată una dintre măsurile provizorii împotriva PHP2Shell. Celelalte măsuri provizorii de la php.net se găsesc la Măsuri imediate dacă nu puteți încă aplica patchul, iar indicații generale despre configurarea sesiunilor la Cum securizați sesiunile în PHP.

Ce nu știm încă: ce versiuni PHP anume sunt afectate și ce versiune aduce corecția. Actualizăm această pagină de îndată ce apare advisory-ul.

Cum ajută PHP SOS concret?

În cadrul securizării serverului aplicăm remediul durabil și verificabil:

• Citirea configurației: valorile efective ale sesiunilor pentru fiecare SAPI, pool și virtual host.
• Căutarea în cod: locurile în care handlerul sau opțiunile de sesiune sunt modificate la runtime.
• Dezactivarea în locul potrivit: în php.ini, în pool sau în configurația serverului, fără a putea fi suprascrisă de aplicație, cu repornire ulterioară.
• Urmărirea: când apare versiunea de remediere, o aplicăm și documentăm starea.

Întrebări frecvente

Surse

• php.net: anunțuri de securitate
• PHP 8 ChangeLog
• OWASP Cheat Sheets