CVE-2026-115560: uusi haavoittuvuus PHP:ssä, ei vielä korjausta
Julkaistu 23.10.2026 · Vakavuusaste : Keskitaso · Päivitetty 27.10.2026
Mitä tapahtuu: PHP ilmoitti 23. lokakuuta 2026 uudesta haavoittuvuudesta, CVE-2026-115560, joka voi mahdollistaa koodin suorittamisen etäkäytöllä palvelimella. Se julkaistiin kaksi päivää PHP2Shell-korjausten jälkeen, eikä 21. lokakuuta julkaistuissa päivitetyissä versioissa ole korjausta siihen.
Kuinka vakava: PHP:n mukaan hyökkäys vaatii poikkeuksellisen yhdistelmän asetuksia ja ohjelmointikoodia: verkkosivuston on vaihdettava istuntotietojen muotoa suorituksen aikana, ja tiedoston latautumisen edistymisen ominaisuus on oltava käytössä. Hyökkäyksiä ei ole tähän mennessä raportoitu (CERT-FR, 27. lokakuuta 2026). PHP korjaa virheen seuraavassa tavallisessa julkaisussa.
Kenet ovat kyseessä: PHP:tä käyttävät verkkosivustot – mukaan lukien WordPress, Joomla, Drupal ja monet verkkokaupat – joissa tiedoston latautumisen edistymisen ominaisuus (session.upload_progress) on käytössä. Se on oletuksena käytössä.
Mitä sinun kannattaa tehdä: PHP suosittelee, että asetat session.upload_progress.enabled=0 tiedostoon php.ini tai palvelimen asetuksiin odottaessasi korjausta ja käynnistät PHP-prosessit uudelleen. Asetusta käytetään vain tiedoston latauksen edistymisen näyttämiseen; useimmat verkkosivustot eivät havaitse mitään eroa. Asenna seuraava PHP-julkaisu heti sen ilmestyessä.
Epäiletkö, onko verkkosivustasi kärsinyt? Ota yhteyttä, niin kerromme, mitä pitäisi tehdä.