CVE-2026-115560: ny sårbarhet i PHP, ennå uten rettelse
Publisert 23.10.2026 · Alvorlighetsgrad : Middels · Oppdatert 27.10.2026
Hva skjer: 23. oktober 2026 varslet PHP en ny sårbarhet, CVE-2026-115560, som kan gi fjernkjøring av kode på serveren. Den kom to dager etter rettelsene for PHP2Shell, og de oppdaterte versjonene fra 21. oktober stopper den ikke.
Hvor alvorlig: ifølge PHP krever et angrep en uvanlig kombinasjon av innstillinger og programkode: nettstedet må bytte formatet på øktdata mens det kjører, og funksjonen for opplastingsfremdrift må være slått på. Ingen angrep er rapportert så langt (CERT-FR, 27. oktober 2026). PHP retter feilen i neste ordinære utgivelse.
Hvem er berørt: nettsteder som kjører på PHP – blant annet WordPress, Joomla, Drupal og mange nettbutikker – der funksjonen for opplastingsfremdrift (session.upload_progress) er slått på. Den er slått på som standard.
Hva du bør gjøre: PHP anbefaler å sette session.upload_progress.enabled=0 til rettelsen kommer, i php.ini eller i serverkonfigurasjonen, og starte PHP-prosessene på nytt. Innstillingen brukes bare til å vise fremdrift under filopplasting; de fleste nettsider merker ingen forskjell. Installer den neste PHP-utgivelsen så snart den kommer.
Er du usikker på om nettsiden din er berørt? Skriv til oss, så forteller vi deg hva som bør gjøres.