Успели обновить PHP? Найдена новая дыра
Успели обновить PHP? Найдена новая дыра Разработчики PHP сообщили о ещё одной уязвимости (CVE-2026-115560), допускающей удалённое выполнение кода (RCE) при редком сочетании нестандартных настроек (по умолчанию не проявляется) и PHP-кода. Детали раскроют после выхода корректирующих релизов. Проблема связана с сессиями: в php.ini параметр session.serialize_handler имеет значение “php_binary” или “php_serialize” (по умолчанию “php”), а скрипт до session_start() переключает его на “php” через ini_set(), из-за чего, вероятно, данные сессии читаются в формате, отличном от формата записи. Обходной путь — прописать в php.ini “session.upload_progress.enabled=0”: по умолчанию опция включена, и PHP ещё до запуска скрипта пишет в сессию (ключи с префиксом upload_progress_) данные о ходе загрузки файлов, включая клиентские имена файлов. Эту же меру советовали против прошлой критической уязвимости. Linux Club