Профиль: Аноним (вход | регистрация) неRU opennet.me  
OpenNET

[ новости /+++ | форум | теги |    ]

Ещё одна уязвимость в PHP, в редких конфигурациях позволяющая удалённо выполнить код

23.10.2026 21:24 (MSK)

Разработчики проекта PHP предупредили о выявлении ещё одной уязвимости (CVE-2026-115560), которая потенциально может использоваться для удалённого выполнения кода на сервере при определённом редком сочетании нестандартных настроек (не в конфигурации по умолчанию) и выполняемого PHP-кода. Подробности о уязвимости намерены опубликовать после готовности очередных корректирующих выпусков PHP.

В качестве обходного пути защиты рекомендуется выставить в php.ini параметр "session.upload_progress.enabled=0", который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра "session.serialize_handler", выставленного в значение "php_binary" или "php_serialize", и изменения этого парамтера в PHP-коде на значение "php" через функцию "ini_set()" на стадии до вызова функции session_start().

  1. Главная ссылка к новости (https://www.php.net/archive/20...)
  2. OpenNews: Для уязвимостей PHP2Shell анонсирован первый эксплоит, обходящий рандомизацию адресов
  3. OpenNews: Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP
  4. OpenNews: Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления
  5. OpenNews: Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/66534-php
Ключевые слова: php
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (11) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 22:09, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/–
    В пятницу вечером я точно не пойду ничего патчить. Удачи понедельничному мне.
     
     
  • 2.2, Аноним (2), 22:12, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/–
    Пятничный отказался патчить - понедельничный будет разгребать последствия. Удачи!
     
  • 2.3, Аноним (3), 22:16, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Там и патчить нечего, патч не вышел ещё. Если только конфиг менять (и то если не дефолтный был).
     

  • 1.4, Самсоныч (?), 22:20, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/–
    Интересно, как весь этот информационный поток вокруг PHP скажется в перспективе на цепочках принятии решений о том, какие технологии выбирать для конкретных новых проектов, и, в конечном итоге, на доле PHP, количестве вакансий и зарплатах, если учесть, что такие решения часто принимают менеджеры, которые не вникаю в технические подробности, а ориентируются на информационный контент.
     
     
  • 2.6, Аноним (3), 22:25, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Очень просто: никак. Потому что взломано по сути всё. В Ноде вон тоже недавно уязвимости были, да и в целом там их кладезь, как и с Пыхой, а что вместо этого выбирать? Питон?
     
     
  • 3.8, Аноним (8), 22:33, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > что вместо этого выбирать? Питон?

    Перл надо выбирать. Без шуток, mod_perl и Ко. в помощь.

     
  • 3.9, Самсоныч (?), 22:39, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Из того, что мы наблюдаем, можно сделать вывод, что целый класс проблем связан с тем, что перечисленные языки являются интерпретируемые и, а значит, потенциально подвержены атакам с подстановкой произвольного кода для выполнения.

    Первое, что приходит в голову: использовать для наиболее критичных фрагментов бизнес-логики самое близкое заточенное под веб решение, лишённое недостатков, присущих интерпретаторам — Golang.

     

  • 1.5, Гуманоид (?), 22:22, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/–
    Я не могу определиться, это комедия или трагедия? Мне смеяться или плакать?
     
     
  • 2.7, Аноним (3), 22:25, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Зависит от того, работаешь ли ты с Пыхой.
     

  • 1.10, Аноним (10), 22:48, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/–
    Блин, почему находят столько RCE, но никто не делает червей которые поломают разом всё PHPшное, чтобы добить эту заразу?
     
  • 1.11, Аноним (11), 22:49, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/–
    Мне Клод сам все сделал, что писал то поправил и с сервером поработал. На написании црм в Клоде я сохранил примерно лям и поправить косяки тыщ 100, оцениваю по прежнему прайсу кодеров)))
     
     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    XSQUARE
    Inferno Solutions
    Hosting by Hoster.ru
    Хоcтинг: