Potrivit The Hacker News, PHP a publicat o avertizare privind o nouă vulnerabilitate de execuție cod la distanță (CVE-2026-115560), cu doar două zile după ce a lansat corecturi de urgență pentru defectele critique PHP2Shell. Noua problemă afectează doar aplicații web configurate într-un mod neobișnuit și este considerată un risc puțin probabil.
Proiectul PHP nu emite o corecție de urgență, recomandând în schimb dezactivarea funcției „session upload progress” până la următoarea lansare obișnuită. Vulnerabilitatea necesită o configurație foarte specifică: aplicația trebuie să seteze opțiunea session.serialize_handler la php_binary sau php_serialize, apoi să o schimbe la php folosind ini_set() înainte de apelarea session_start().
Conform avertismentului publicat pe 23 octombrie, nicio exploatare a CVE-2026-115560 nu a fost raportată până acum. Între timp, tentativele de exploatare a celor două defecte PHP2Shell anterioare (CVE-2026-109618 și CVE-2026-109619) au crescut masiv: Amazon a documentat încercări înainte chiar de dezvelire, iar Cloudflare a înregistrat creșterea de la zeci de mii la milioane de tentative în 24 de ore.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
