☝🏻В PHP нашли ещё одну дыру для удалённого выполнения кода, и патча пока нет Разработчики PHP предупредили о новой RCE-уязвимости CVE-2026-115560. Исправление выйдет только с очередным плановым релизом.🤷🏼♀️ Предупреждение вышло через два дня после экстренных патчей для PHP2Shell, из-за которой падали правительственные сервисы Великобритании. Новый баг срабатывает только при редком совпадении трёх условий: 🔻 в конфиге задан обработчик сессий php_binary или php_serialize; 🔻 приложение во время работы переключает его на php через ini_set() до session_start(); 🔻 включено отслеживание прогресса загрузки файлов, а по умолчанию оно включено. ☝🏻Пока неизвестно, какие версии PHP затронуты, насколько опасной признают уязвимость и в каком релизе её закроют.🤔 Сами разработчики считают такую конфигурацию маловероятной, поэтому и не стали выпускать срочное обновление. ☝🏻Временная защита: прописать session.upload_progress.enabled=0 в php.ini или в конфиге FPM-пула. Если вы уже сделали это из-за PHP2Shell, больше ничего делать не нужно.🛡 ☝🏻☝🏻Это уже вторая RCE в PHP за неделю. «Маловероятный» вектор остаётся вектором, а отключить одну настройку быстрее, чем ждать планового релиза. ================ 👁 News | 👁 Soft | 👁 Gear | 👁 Links