In PHP individuata una nuova vulnerabilità CVE-2026-115560
Il team di sviluppo di PHP ha segnalato il 23 ottobre una nuova vulnerabilità, CVE-2026-115560, che consente l’esecuzione remota di codice su un server web. L’avviso è arrivato due giorni dopo il rilascio delle correzioni urgenti per le vulnerabilità critiche PHP2Shell.
Il problema riguarda soltanto le applicazioni con una configurazione atipica, perciò gli sviluppatori ritengono poco probabile un suo sfruttamento. Non è previsto un aggiornamento straordinario. Fino alla prossima release programmata, gli specialisti consigliano di disattivare il monitoraggio dell’avanzamento del caricamento dei file nella sessione (session upload progress).
La vulnerabilità si manifesta solo quando si verificano contemporaneamente tre condizioni. Primo, il parametro session.serialize_handler ha il valore php_binary o php_serialize. Secondo, durante l’esecuzione l’applicazione lo imposta su php tramite ini_set() prima della chiamata a session_start(). Terzo, la funzione session upload progress è attiva, ed è abilitata per impostazione predefinita.
Per proteggersi, occorre impostare session.upload_progress.enabled=0 nella configurazione del server, non nel codice dell’applicazione, e riavviare tutti i processi di lavoro PHP. Il team PHP aveva già indicato la stessa misura il 21 ottobre nel bollettino GHSA-6wmf-4rv5-p3rp come protezione da CVE-2026-109619, una delle vulnerabilità PHP2Shell. Se l’impostazione è stata applicata allora e non è stata revocata, non servono altre azioni. Gli esperti consigliano inoltre di non riattivare la funzione dopo l’installazione delle correzioni, se non è necessaria: gli aggressori cercano sempre più spesso falle in questo meccanismo poco usato e poco testato.
Secondo The Hacker News, le versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, uscite il 21 ottobre, non risolvono la nuova vulnerabilità. La correzione sarà inclusa nel normale ciclo di rilascio e il bollettino completo su CVE-2026-115560 verrà pubblicato insieme alla prossima versione. Non è ancora chiaro quali versioni siano interessate, in quali build arriverà la correzione e quanto sia grave la minaccia. Non si sa nemmeno se il problema sia collegato a CVE-2026-109619. Non risultano segnalazioni di sfruttamento in attacchi reali.
Nel frattempo continuano i tentativi di sfruttare le vulnerabilità PHP2Shell, CVE-2026-109618 e CVE-2026-109619. Gli honeypot di Amazon hanno registrato un tentativo già il 17 ottobre, quattro giorni prima della divulgazione pubblica. Secondo Cloudflare, il numero di tentativi è salito da decine di migliaia nei primi 45 minuti dopo la divulgazione del 21 ottobre a milioni entro la mattina del 22 ottobre. Sophos e Arctic Wolf riferiscono che gli aggressori hanno provato a installare una variante della botnet Mirai, finora senza successo. Previdian, Wordfence e altre aziende rilevano solo scansioni e verifiche dei server, senza casi confermati di esecuzione di codice. Per i ricercatori, creare un exploit affidabile si è rivelato più difficile del previsto. Questa attività riguarda le due vulnerabilità corrette il 21 ottobre, non CVE-2026-115560.