Vulnerabilità · 4 ore fa

La RCE di PHP richiede una configurazione di sessione rara

Il 23 ottobre PHP ha descritto CVE-2026-115560, una RCE possibile solo con una combinazione rara di configurazione e codice applicativo. La maggior parte delle installazioni non dovrebbe presentare le condizioni necessarie.

Il problema si verifica se un’applicazione imposta un formato di serializzazione delle sessioni insolito, poi passa al formato standard durante l’esecuzione prima di avviare una sessione. Serve anche che il tracciamento dei caricamenti sia attivo: senza il cambio di formato a runtime, questa condizione non si verifica.

In attesa della correzione prevista in una futura release ordinaria, PHP raccomanda di disabilitare il tracciamento dei caricamenti. Le applicazioni che non cambiano formato a runtime possono però mantenerlo attivo: l’esposizione dipende da quel passaggio specifico, non dalla sola presenza della funzionalità.

Cronologia

• 26 ott Segnalato da Infosecurity Magazine

Fonti

1 fonte che coprono questa storia

• Infosecurity Magazine 26 ott

  PHP Publishes Mitigation Advice for New RCE Flaw

  PHP warns of critical RCE vulnerability CVE-2026-115560, but says limited exploit conditions mean most deployments are unlikely to be affected

Entità

• CVE-2026-115560

Part of the PlainSec briefing for 2026-10-26

Editions

• Briefing for 2026-10-26

Storie correlate

• I dubbi sui PoC cedono agli attacchi reali contro PHP
• Una build ufficiale di Node.js cede al Brotli, ma non sempre
• Il rischio delle regex Ruby supera i confini di GitLab