PHP: terzo avviso su session upload progress, CVE-2026-115560 senza patch

Il progetto PHP ha pubblicato il 23 ottobre 2026 un terzo avviso sulla gestione delle sessioni, distinto dalle due vulnerabilità critiche già corrette il 21 ottobre con le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Riguarda chi gestisce PHP in produzione e deve decidere se l'impostazione adottata nei giorni scorsi va mantenuta.

Cosa dice l'avviso

Il testo pubblicato da php.net è diretto: "We suggest you set session.upload_progress.enabled=0 until the next regular bugfix release, to fully protect from an unlikely RCE vector". Chi aveva già applicato questa impostazione il 21 ottobre come mitigazione per CVE-2026-109619 non deve fare nulla di nuovo.

La falla, identificata come CVE-2026-115560, richiede tre condizioni insieme: un'applicazione deve impostare session.serialize_handler su php_binary o php_serialize nella configurazione, poi cambiarlo a runtime in php con ini_set() prima di chiamare session_start(), con session upload progress ancora attivo. Session upload progress deve inoltre essere ancora attivo, e il manuale PHP lo elenca come attivo di default; le applicazioni che non cambiano mai il gestore di serializzazione a runtime possono mantenere la funzione attiva. Per questo PHP tratta il problema nel ciclo di rilascio ordinario, senza una data annunciata per la patch.

Perché non è come il 21 ottobre

Cloudflare segnala che CVE-2026-115560 riguarda anche le versioni PHP già aggiornate, inclusa la 8.5.12, e sarà risolta nel prossimo rilascio ordinario. A differenza delle due RCE del 21 ottobre, con CVSS 9.2 pubblicato subito, per questa falla BleepingComputer e The Hacker News ne hanno riportato l'avviso il 23 ottobre, ma controllando le API di NVD, CVE.org e OSV non risultava ancora alcun record.

Il comportamento non è nuovo: secondo la cronologia ricostruita da chi ha esaminato i bug storici di PHP, il 12 dicembre 2015 viene segnalato come problema di sicurezza il Bug #71101, che descrive come l'upload progress permetta a un client di influenzare una chiave in $_SESSION e come un cambio del gestore a metà script faccia interpretare a PHP i dati di sessione nel formato sbagliato, poi riclassificato nel 2021 come problema di sola documentazione.

Cosa fare

Chi non ha ancora applicato la mitigazione per il 21 ottobre deve impostare session.upload_progress.enabled=0 nella configurazione effettiva, non con ini_set(), e riavviare i worker PHP-FPM. Le applicazioni che non modificano mai session.serialize_handler a runtime possono lasciare la funzione attiva.