CVE-2026-115560: nowa podatność w PHP, jeszcze bez poprawki
Opublikowano 23.10.2026 · Poziom zagrożenia : Średni · Zaktualizowano 27.10.2026
Co się dzieje: 23 października 2026 PHP poinformował o nowej podatności, CVE-2026-115560, która może umożliwić zdalne wykonanie kodu na serwerze. Pojawiła się dwa dni po poprawkach do PHP2Shell, a zaktualizowane wersje z 21October jej nie usuwają.
Jak poważna jest podatność: zgodnie z PHP atak wymaga nietypowego połączenia ustawień i kodu programistycznego: strona musi zmieniać format danych sesji podczas działania, a funkcja informująca o postępie przesyłania plików musi być włączona. Do tej pory nie odnotowano żadnych ataków (CERT-FR, 27 października 2026). PHP usunie błąd w następnej standardowej wersji.
Kto jest narażony: strony działające na PHP – między innymi WordPress, Joomla, Drupal i wiele sklepów internetowych – w których włączono funkcję informującą o postępie przesyłania plików (session.upload_progress). Jest ona domyślnie włączona.
Co powinieneś zrobić: PHP zaleca ustawienie session.upload_progress.enabled=0 w pliku php.ini lub w konfiguracji serwera do czasu wydania poprawki, a następnie ponowne uruchomienie procesów PHP. Ustawienie służy wyłącznie do wyświetlania postępu przesyłania plików, więc większość stron nie zauważy żadnej różnicy. Zainstaluj kolejną wersję PHP zaraz po jej wydaniu.
Nie jesteś pewien, czy Twoja strona internetowa została naruszona? Napisz do nas, a powiemy Ci, co należy zrobić.