PHP njoftoi më 23 tetor për CVE-2026-115560, një dobësi të paarnuar që mundëson ekzekutimin e kodit në serverë uebi vetëm në konfigurime të pazakonta. Ajo është e veçantë nga dy dobësitë kritike PHP2Shell, CVE-2026-109618 dhe CVE-2026-109619, të arnuara urgjentisht më 21 tetor.
Rreziku shfaqet kur aplikacioni e ka session.serialize_handler të konfiguruar si php_binary ose php_serialize, pastaj e ndryshon në php përmes ini_set() përpara thirrjes së session_start(). Duhet të jetë aktiv edhe funksioni session upload progress. Aplikacionet që nuk e ndryshojnë këtë konfigurim gjatë ekzekutimit nuk ekspozohen përmes kësaj rruge.
PHP e konsideron këtë skenar pak të mundshëm dhe nuk do të nxjerrë arnim emergjent. Deri në përditësimin e radhës rekomandon session.upload_progress.enabled=0. Kush e ka zbatuar tashmë këtë masë nga këshillimi i 21 tetorit dhe e ka ruajtur, nuk ka nevojë për veprime shtesë. Versionet e prekura dhe vlerësimi i rëndësisë nuk janë njoftuar.
Nuk është raportuar shfrytëzim i CVE-2026-115560. Ndërkohë, tentativat kundër dy dobësive të mëparshme janë shtuar: sipas Cloudflare, arritën në miliona deri në fillim të 22 tetorit. Janë vërejtur përpjekje për instalimin e një varianti të botnetit Mirai, por pa ekzekutim të konfirmuar të kodit.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
