CVE-2026-115560: nuova vulnerabilità in PHP, ancora senza correzione
Pubblicato 23.10.2026 · Livello di gravità : Medio · Aggiornato 27.10.2026
Cosa succede: il 23 ottobre 2026 PHP ha segnalato una nuova vulnerabilità, CVE-2026-115560, che potrebbe consentire l’esecuzione remota di codice sul server. È stata scoperta due giorni dopo le correzioni per PHP2Shell, e le versioni aggiornate del 21 ottobre non la fermano.
Quanto è grave: secondo PHP, un attacco richiede una combinazione insolita di impostazioni e codice: il sito deve cambiare il formato dei dati di sessione mentre è in esecuzione e la funzione di avanzamento del caricamento deve essere attiva. Finora non è stato segnalato alcun attacco (CERT-FR, 27 ottobre 2026). PHP correggerà il bug nella prossima versione ordinaria.
Chi è interessato: siti che girano su PHP – tra cui WordPress, Joomla, Drupal e molti negozi online – dove la funzione di avanzamento del caricamento (session.upload_progress) è attiva. È attiva per impostazione predefinita.
Cosa devi fare: PHP consiglia di impostare session.upload_progress.enabled=0 fino all’arrivo della correzione, in php.ini o nella configurazione del server, e di riavviare i processi PHP. L’impostazione serve solo a mostrare l’avanzamento durante il caricamento dei file; la maggior parte dei siti non noterà alcuna differenza. Installa la prossima versione di PHP appena sarà disponibile.
Non sei sicuro che il tuo sito web sia stato colpito? Scrivici e ti diremo cosa è necessario fare.