Szokatlan beállítás mellett engedhet kódfuttatást a PHP új, javítatlan hibája

A PHP október 23-i figyelmeztetése szerint a CVE-2026-115560 az alábbi feltételek együttes teljesülésekor tehet lehetővé távoli kódfuttatást a webszerveren:

• Az alkalmazás konfigurációjában a session.serialize_handler értéke php_binary vagy php_serialize.
• A program futás közben, az ini_set() függvénnyel php értékre váltja ezt.
• A módosítás a session_start() meghívása előtt történik.
• A session upload progress funkció továbbra is be van kapcsolva.

Utóbbi a fájlfeltöltés előrehaladásának követésére szolgál, és alapértelmezésben engedélyezett. A PHP csapata szerint az említett együttállás a gyakorlatban valószínűtlen. Az a program, amely futás közben nem változtatja meg a session.serialize_handler értékét, ezen az útvonalon nem érintett, és bekapcsolva hagyhatja a feltöltéskövetést.

Az október 23-i beszámoló az új hiba érintett verzióit és súlyossági pontszámát nem sorolja fel.

A PHP ajánlása a javítás megjelenéséig a session.upload_progress.enabled=0 beállítása. Ez ugyanaz az ideiglenes védekezés, amelyet a csapat október 21-én a CVE-2026-109619 kapcsán már javasolt.

Aki akkor alkalmazta, és azóta is megtartotta ezt az értéket, annak az új sebezhetőség miatt nincs további teendője. A projekt a ritka feltételek miatt nem rendkívüli kiadásban kezeli a problémát: a következő szokásos hibajavító verzióval tervezi közzétenni a teljes biztonsági tájékoztatót.

Az október 23-i közlés alapján a CVE-2026-115560 ellen nem jelentettek támadást. Az akkor megfigyelt próbálkozások a korábbi PHP2Shell-hibákat célozták, nem ezt az újonnan ismertetett lehetőséget.

Az október 21-i rendkívüli kiadások a CVE-2026-109618 és a CVE-2026-109619 hibát javítják. Ezek alkotják a PHP2Shell néven ismert párost, amely különlegesen összeállított HTTP-kérésekkel, bejelentkezés nélkül tehet lehetővé kódfuttatást.

A javított kiadások: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Ezek az új, CVE-2026-115560 azonosítójú problémára nem adnak javítást. A két korábbi sérülékenység a PHP motorjában található, nem valamely alkalmazás saját kódjában. A Security Affairs beszámolója szerint ezért egy külön bővítmények nélküli WordPress-oldal is érintett lehet, ha sérülékeny PHP-verziót használ.

A régebbi, köztük a 7.4, 8.0 és 8.1 verziók használóinak a szoftverforgalmazó által biztosított javításra vagy támogatott kiadásra váltásra van szükségük.

A Cloudflare a nyilvános bejelentést követő 45 percben több tízezer kihasználási kísérletet észlelt; október 22-re ezek száma milliósra nőtt. Az Amazon már október 17-én rögzített a két korábbi hibát célzó próbálkozást.

Az október 23-i beszámolók még nem ismertettek igazolt, sikeres éles kódfuttatást. A Sophos által elemzett támadás például a Potassium nevű Mirai-változatot próbálta telepíteni, de a védelmi rendszer megállította, mielőtt a kártevő eljutott volna a célgépre. A minta további kártékony fájlok letöltésére és elosztott szolgáltatásmegtagadási támadásokra képes.

Ezt a korabeli helyzetképet azonban már nem lehet változatlanul aktuálisnak tekinteni. A CISA október 26-án mindkét PHP2Shell-hibát felvette a KEV-listára, amely a ténylegesen megfigyelt kihasználással rendelkező sérülékenységeket tartalmazza.

A SecurityWeek október 23-i beszámolójában a VulnCheck működő kódfuttatást elérő támadóeszközről számolt be. Ez a memóriában a kód és az adatok helyét véletlenszerűsítő ASLR-védelmet is megkerüli, és kikapcsolt PHP-hibakijelzés mellett is használható.

A cég ugyanakkor arra is figyelmeztetett, hogy a GitHub oldalán megjelent több száz demonstrációs tárhely közül nagyon kevés tartalmaz valódi, működő támadókódot.