CVE-2026-115560: ny sårbarhet i PHP, ännu utan fix
Publicerad 23.10.2026 · Allvarlighetsgrad : Medel · Uppdaterad 27.10.2026
Vad som händer: Den 23 oktober 2026 varnade PHP för en ny sårbarhet, CVE-2026-115560, som kan leda till fjärrkörning av kod på servern. Den kom två dagar efter korrigeringarna för PHP2Shell, och de uppdaterade versionerna från den 21 oktober stoppar den inte.
Hur allvarlig den är: Enligt PHP kräver en attack en ovanlig kombination av inställningar och programkod: webbplatsen måste byta format på sessionsdata medan den körs, och funktionen för uppladdningsframsteg måste vara aktiverad. Inga attacker har rapporterats hittills (CERT-FR, 27 oktober 2026). PHP rättar felet i nästa vanliga release.
Vem som påverkas: Webbplatser som kör PHP – bland annat WordPress, Joomla, Drupal och många webbutiker – där funktionen för uppladdningsframsteg (session.upload_progress) är aktiverad. Den är aktiverad som standard.
Vad du bör göra: PHP rekommenderar att du sätter session.upload_progress.enabled=0 tills korrigeringen kommer, i php.ini eller i serverkonfigurationen, och startar om PHP-processerna. Inställningen används endast för att visa framsteg under filuppladdning; de flesta webbplatser märker ingen skillnad. Installera nästa PHP-release så snart den lanseras.
Är du osäker på om din webbplats har påverkats? Skriv till oss, så berättar vi vad som bör göras.