PHP: il nuovo avviso sulle sessioni ha condizioni molto precise

PHP ha pubblicato un altro avviso sul progresso degli upload nelle sessioni, due giorni dopo le patch d’emergenza di PHP2Shell. Questa volta il team descrive una possibilità poco probabile di esecuzione remota di codice e prevede una correzione nel normale ciclo di rilascio: è CVE-2026-115560.

Il problema richiede una combinazione precisa: l’applicazione configura session.serialize_handler su php_binary o php_serialize, poi lo cambia in php con ini_set() prima di session_start(). Deve essere ancora attiva anche la funzione che registra nella sessione l’avanzamento degli upload. PHP precisa che le applicazioni che non cambiano questo formato durante la richiesta possono mantenerla abilitata.

In attesa della correzione, il team suggerisce session.upload_progress.enabled=0. Era già la mitigazione indicata il 21 ottobre per una delle falle PHP2Shell: chi l’ha applicata deve mantenerla, senza altri interventi per questo nuovo avviso. La configurazione deve agire prima che PHP analizzi la richiesta, tramite php.ini, pool FPM o server; non basta impostarla con ini_set() o con .user.ini.

Le patch di emergenza pubblicate il 21 ottobre risolvono le due vulnerabilità precedenti, non questa nuova CVE. Tenere disabilitato il progresso degli upload non sostituisce quindi quegli aggiornamenti.