שני ימים אחרי עדכוני החירום ל-PHP2Shell, פרסמה PHP אזהרה על פגיעות הרצת קוד נוספת, CVE-2026-115560. הפעם אין עדכון חירום: הפרויקט מגדיר את הסיכון כבלתי סביר ומטפל בו כתיקון שגרתי.
| מזהה | CVE-2026-115560 |
| מוצר וגרסאות | PHP; הגרסאות המושפעות לא פורסמו. גרסאות התיקון מ-21 באוקטובר (8.5.12, 8.4.27, 8.3.36, 8.2.35) אינן מטפלות בבעיה |
| חומרה (CVSS) | לא פורסם |
| מנוצל בפועל | לא דווח; הניסיונות שנצפו מאז 21 באוקטובר מכוונים לפגיעויות הקודמות |
| סטטוס תיקון | ייכלל בגרסה שגרתית הבאה; ייעוץ מלא יפורסם איתה |
מה קרה
לפי הדיווח, הפגיעות קשורה לתכונת session upload progress ודורשת צירוף תנאים: session.serialize_handler מוגדר ל-php_binary או php_serialize, האפליקציה משנה אותו ל-php בזמן ריצה עם ini_set() לפני session_start(), ותכונת ה-upload progress עדיין פעילה.
PHP לא מסרה אם יש שורש משותף עם CVE-2026-109619 מהגל הקודם.
נקודות לשים לב
- בדוק אם הקוד שלך קורא ל-
ini_set('session.serialize_handler', ...)לפניsession_start(). אם לא, סביר שאינך חשוף בתצורה המתוארת. - כבה זמנית את התכונה עם
session.upload_progress.enabled=0. מי שכבר הפעיל את ההגדרה בעקבות CVE-2026-109619 לא צריך פעולה נוספת. - העדכון ל-8.5.12 וחבריו אינו פותר את הבעיה הזו; עקוב אחר הגרסה השגרתית הבאה.
- ציון חומרה וגרסאות מושפעות לא פורסמו, ולכן אל תניח שגרסה מסוימת בטוחה.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
