La RCE di PHP richiede una configurazione di sessione rara
Il 23 ottobre PHP ha descritto CVE-2026-115560, una RCE possibile solo con una combinazione rara di configurazione e codice applicativo. La maggior parte delle installazioni non dovrebbe presentare le condizioni necessarie.
Il problema si verifica se un’applicazione imposta un formato di serializzazione delle sessioni insolito, poi passa al formato standard durante l’esecuzione prima di avviare una sessione. Serve anche che il tracciamento dei caricamenti sia attivo: senza il cambio di formato a runtime, questa condizione non si verifica.
In attesa della correzione prevista in una futura release ordinaria, PHP raccomanda di disabilitare il tracciamento dei caricamenti. Le applicazioni che non cambiano formato a runtime possono però mantenerlo attivo: l’esposizione dipende da quel passaggio specifico, non dalla sola presenza della funzionalità.