CVE-2026-115560: PHP segnala un'altra RCE in session upload progress, diversa da PHP2Shell

Il progetto PHP ha pubblicato il 23 ottobre 2026 alle 10:12 UTC un avviso informativo su php.net che chiede di impostare session.upload_progress.enabled=0 fino alla prossima release di bugfix regolare, per proteggersi da un vettore RCE giudicato improbabile e tracciato come CVE-2026-115560. È una falla distinta dalle due RCE critiche di PHP2Shell (CVE-2026-109618 e CVE-2026-109619) corrette il 21 ottobre nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35: aggiornare a quelle versioni non chiude questo problema.

Chi deve agire

Chi aveva già disattivato il session upload progress come mitigazione per CVE-2026-109619 non deve fare nulla: l'impostazione era già indicata nell'advisory GHSA-6wmf-4rv5-p3rp pubblicato il 21 ottobre 2026 e resta valida.

Per gli altri, la condizione di rischio è specifica. Serve che un'applicazione imposti session.serialize_handler su php_binary o php_serialize in configurazione, e poi lo cambi a php a runtime con ini_set() prima di chiamare session_start(), con il session upload progress ancora attivo. Le applicazioni che non cambiano mai il serialize handler a runtime possono lasciare la funzione attiva senza essere esposte.

Il precedente del 2015

Il problema non è nuovo in senso assoluto: era già stato segnalato come bug di sicurezza il 12 dicembre 2015 (#71101), con descrizione dello stesso meccanismo — upload progress che permette al client di influenzare una chiave in $_SESSION e un cambio di handler a metà script che fa leggere a PHP dati di sessione nel formato sbagliato. Il bug era poi stato riclassificato da problema di sicurezza a bug ordinario il 1° gennaio 2016.

Cosa fare ora

• Impostare session.upload_progress.enabled=0 in php.ini, nella configurazione del pool FPM o a livello server, prima che la richiesta venga elaborata.
• Riavviare tutti i worker PHP dopo la modifica.
• Non considerare le patch PHP2Shell del 21 ottobre come risolutive per questo caso.

PHP non ha ancora pubblicato le versioni affette, quelle che conterranno la correzione definitiva, né un punteggio di gravità: l'advisory completo per CVE-2026-115560 arriverà con la prossima release regolare.