PHP meldt een nieuwe kwetsbaarheid voor remote code execution, twee dagen na spoedpatches voor PHP2Shell, met mitigatie via uitschakelen van session upload progress.
PHP heeft gewaarschuwd voor een nieuwe kwetsbaarheid die een aanvaller in staat kan stellen code uit te voeren op een webserver, slechts twee dagen nadat spoedpatches werden uitgebracht voor de kritieke PHP2Shell-kwetsbaarheden. Deze nieuwe kwetsbaarheid, geregistreerd als CVE-2026-115560, treft alleen webapplicaties die op een ongebruikelijke manier zijn geconfigureerd. PHP beschouwt het risico als onwaarschijnlijk en brengt daarom geen spoedpatch uit.
In plaats daarvan adviseert het project om de functie session upload progress uit te schakelen totdat een oplossing beschikbaar is in de eerstvolgende reguliere release. Deze waarschuwing verscheen in een korte informatieve advisory op 23 oktober, kort na de spoedrelease van 21 oktober die twee kritieke PHP2Shell-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) verhelpt. Deze eerdere kwetsbaarheden maakten het mogelijk voor een aanvaller zonder account om code uit te voeren op een server en werden gepatcht in PHP-versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
De nieuwe kwetsbaarheid is onafhankelijk van de eerder gepatchte problemen en wordt niet verholpen door deze updates. Alleen een zeer specifieke configuratie loopt risico. Dit betreft een situatie waarin een webapplicatie de optie session.serialize_handler instelt op php_binary of php_serialize, deze optie tijdens runtime wijzigt naar php via ini_set(), en deze wijziging toepast voordat session_start() wordt aangeroepen. Daarnaast moet session upload progress nog ingeschakeld zijn. Applicaties die de serialize handler niet wijzigen tijdens runtime zijn niet kwetsbaar via deze route.
PHP benadrukt dat deze configuratie in de praktijk zelden voorkomt. De aanbevolen tijdelijke maatregel is het uitschakelen van session.upload_progress.enabled door deze op 0 te zetten, totdat de reguliere bugfixrelease verschijnt. Dit is dezelfde mitigatie die al werd geadviseerd voor CVE-2026-109619 in de eerdere advisering. Wie deze instelling toen al heeft toegepast, hoeft verder niets te doen voor de nieuwe kwetsbaarheid.
Session upload progress staat standaard aan en maakt het mogelijk om de voortgang van een bestandupload te volgen. Omdat de kwetsbaarheid beperkt is tot een ongebruikelijke configuratie, wordt de fix opgenomen in de reguliere releasecyclus en niet als spoedupdate. Een volledige advisering over CVE-2026-115560 zal bij die release worden gepubliceerd. PHP heeft nog niet aangegeven welke versies precies getroffen zijn, in welke releases de fix zal zitten, of een ernstscore toegekend. Ook is niet bekend of deze kwetsbaarheid dezelfde onderliggende oorzaak deelt met CVE-2026-109619. Tot op heden zijn er geen meldingen van exploitatie van CVE-2026-115560; de aanvallen sinds 21 oktober richten zich op de eerder gepatchte PHP2Shell-kwetsbaarheden.
