PHP waarschuwt voor een andere manier waarop een aanvaller code op een webserver kan uitvoeren, twee dagen nadat het project noodpatches uitbracht voor de kritieke PHP2Shell-kwetsbaarheden.
Het nieuwe probleem, toegewezen CVE-2026-115560, treft alleen webapplicaties die op een ongebruikelijke manier zijn geconfigureerd, en PHP beschouwt het als een onwaarschijnlijk risico.
Het project brengt hier geen noodfix voor uit. In plaats daarvan raadt het aan om een functie genaamd session upload progress uit te schakelen totdat een oplossing in de volgende reguliere release beschikbaar is.
De waarschuwing verscheen in een korte informatieve advisering gepubliceerd op 23 oktober. Ze volgt op de noodrelease van 21 oktober die twee kritieke PHP2Shell-kwetsbaarheden oploste, CVE-2026-109618 en CVE-2026-109619, waarmee een aanvaller zonder account code op een server kon uitvoeren. Die werden gepatcht in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Het nieuwe probleem staat los van die fixes en wordt door die releases niet verholpen.
Alleen een smalle configuratie loopt risico. PHP zegt dat het probleem kan optreden wanneer een webapplicatie al het volgende doet: stelt de optie session.serialize_handler in op php_binary of php_serialize in de configuratie, wijzigt die optie vervolgens naar php tijdens uitvoering door ini_set() aan te roepen, en maakt die wijziging voordat session_start() wordt aangeroepen.
De session upload progress-functie moet ook nog ingeschakeld zijn. Een applicatie die de serialize handler tijdens uitvoering nooit wijzigt, kan de functie aan laten staan en loopt via dit pad geen risico. PHP zegt dat deze opzet in de praktijk onwaarschijnlijk is.
De benodigde handeling is één regel. PHP raadt aan om session.upload_progress.enabled=0 in te stellen totdat de volgende reguliere bugfixrelease uitkomt. Dit is dezelfde instelling die al als mitigatie werd genoemd in de advisering van 21 oktober voor CVE-2026-109619.
Wie die mitigatie toen al heeft toegepast en gehandhaafd, hoeft voor het nieuwe probleem verder niets te doen. Session upload progress staat standaard aan en stelt een applicatie in staat de voortgang van een bestand-upload te volgen.
Omdat deze configuratie zeldzaam is, behandelt PHP de fix als onderdeel van de reguliere releasecyclus in plaats van als noodrelease, en het zal een volledige advisering voor CVE-2026-115560 publiceren bij de volgende uitgave.
PHP heeft nog niet aangegeven welke versies precies getroffen zijn, in welke releases de oplossing zal zitten of een severity-score toegekend. Het heeft ook niet verklaard of het nieuwe probleem dezelfde onderliggende oorzaak deelt met CVE-2026-109619.
Er zijn geen uitbuitingen van CVE-2026-115560 gemeld; de aanvallen die sinds 21 oktober zijn gerapporteerd richten zich op de twee eerdere PHP2Shell-kwetsbaarheden.
Aparte observaties tonen dat pogingen om die twee eerdere PHP2Shell-kwetsbaarheden uit te buiten sterk zijn toegenomen. Amazon meldde dat zijn honeypots op 17 oktober een uitbuitingspoging tegen CVE-2026-109618 en CVE-2026-109619 hebben geregistreerd, vier dagen voordat de kwetsbaarheden openbaar werden gemaakt. Cloudflare zei dat de pogingen toenamen van tienduizenden binnen 45 minuten na de openbaarmaking op 21 oktober tot miljoenen begin 22 oktober.
Aanvallers hebben geprobeerd de kwetsbaarheden te misbruiken om een Mirai-botnetvariant te installeren, volgens Sophos en Arctic Wolf. Die pogingen zijn tot nu toe mislukte: Previdian, Wordfence en anderen melden scanning en probing maar geen bevestigde code-executie, en onderzoekers zeggen dat het bouwen van een betrouwbare exploit moeilijker blijkt dan verwacht. Die activiteiten zijn gericht op de twee kwetsbaarheden die op 21 oktober zijn gepatcht, niet op CVE-2026-115560, waarvoor geen aanvalspogingen zijn gemeld.
