CVE-2026-115560: нова вразливість у PHP, досі без виправлення
Опубліковано 23.10.2026 · Рівень критичності : Середній · Оновлено 27.10.2026
Що сталося: 23 жовтня 2026 року PHP повідомила про нову вразливість, CVE-2026-115560, яка може дати змогу виконувати код на сервері. Вона з'явилася через два дні після виправлень для PHP2Shell, і жодне з оновлених версій від 21 жовтня її не усуває.
Наскільки це серйозно: згідно з PHP, для атаки потрібна незвичайна комбінація налаштувань і програмного коду: сайт має змінювати формат даних сесії під час роботи, а також мати увімкнено функцію відстеження прогресу завантаження. Станом на цей момент жодних атак не зафіксовано (CERT-FR, 27 жовтня 2026 року). PHP виправить помилку в наступному звичайному релізі.
Кого це стосується: сайтів, що працюють на PHP — зокрема WordPress, Joomla, Drupal і багатьох інтернет-магазинів — де увімкнено функцію відстеження прогресу завантаження (session.upload_progress). За замовчуванням вона увімкнена.
Що вам варто зробити: PHP рекомендує встановити session.upload_progress.enabled=0 до виходу виправлення — у файлі php.ini або в конфігурації сервера — і перезапустити процеси PHP. Це налаштування використовується лише для відображення прогресу під час завантаження файлів; більшість сайтів не відчують жодних змін. Установіть наступний реліз PHP одразу після його виходу.
Не впевнені, чи ваш сайт зачепила ця зміна? Напишіть нам, і ми підкажемо, що варто зробити.