CVE-2026-115560: naujas PHP pažeidžiamumas, dar neturintis pataisymo
Paskelbta 23.10.2026 · Svarbumo lygis : Vidutinis · Atnaujinta 27.10.2026
Kas nutiko: 2026 m. spalio 23 d. PHP perspėjo apie naują pažeidžiamumą CVE-2026-115560, kuris gali leisti nuotoliniu būdu vykdyti kodą serveryje. Jis atsirado po dviejų dienų nuo PHP2Shell pataisymų, o 2026 m. spalio 21 d. atnaujintos versijos jo nepašalina.
Kiek rimtas jis yra: pagal PHP, norint užpulti, reikia netipinės konfigūracijos ir programinio kodo derinio: svetainė turi keisti sesijos duomenų formatą veikimo metu, o įkėlimo eigos rodymo funkcija turi būti įjungta. Kol kas nepateikta nė vieno užpuolimo (CERT-FR, 2026 m. spalio 27 d.). PHP klaidą ištaisys kitame įprastiniame leidime.
Kas tai liečia: PHP veikiančios svetainės – įskaitant WordPress, Joomla, Drupal ir daugybę internetinių parduotuvių – kuriose įjungta įkėlimo eigos rodymo funkcija (session.upload_progress). Ji pagal nutylėjimą yra įjungta.
Κą turėtumėte daryti: PHP rekomenduoja iki pataisymo išleidimo nustatyti session.upload_progress.enabled=0 faile php.ini arba serverio konfigūracijoje ir paleisti PHP procesus iš naujo. Šis nustatymas naudojamas tik failų įkėlimo eigai rodyti; dauguma svetainių nepastebės jokių skirtumų. Įdiegkite kitą PHP leidimą vos tik jį išleidus.
Nežinote, ar jūsų svetainė buvo paveikta? Rašykite mums, ir mes jums pasakysime, ką reikėtų padaryti.