CVE-2026-115560: PHP-maatregel al actief
PHP heeft een aanvullende beveiligingsmelding gepubliceerd voor CVE-2026-115560. De geadviseerde maatregel is al op alle servers toegepast en blijft actief. Websites en applicaties op ons platform zijn daarmee beschermd tegen deze kwetsbaarheid.
Aanleiding
De kwetsbaarheid kan onder specifieke omstandigheden leiden tot uitvoering van code op afstand. Misbruik vereist een ongebruikelijke combinatie van PHP-instellingen en applicatiecode. PHP acht deze combinatie in de praktijk onwaarschijnlijk en verwerkt de oplossing daarom in een volgende reguliere release.
Technische details
Het probleem hangt samen met de PHP-functionaliteit die uploadvoortgang bijhoudt via sessies. De kwetsbaarheid kan alleen optreden wanneer aan alle volgende voorwaarden wordt voldaan:
session.serialize_handlerstaat in de configuratie opphp_binaryofphp_serialize.- De applicatie wijzigt deze instelling tijdens de uitvoering met
ini_set()naarphp, vóór het aanroepen vansession_start(). session.upload_progress.enabledis ingeschakeld.
Applicaties die het sessieformaat tijdens de uitvoering niet wijzigen, zijn via deze route niet kwetsbaar. Deze specifieke combinatie verklaart waarom PHP misbruik onwaarschijnlijk acht.
Wat hebben we gedaan?
We hebben de geadviseerde instelling session.upload_progress.enabled=0 eerder op alle servers toegepast naar aanleiding van CVE-2026-109618 en CVE-2026-109619. Deze maatregel blijft actief en schakelt de betrokken functionaliteit uit. Volgens PHP biedt dit bescherming tegen de aanvalsmogelijkheid van CVE-2026-115560.
PHP neemt de definitieve oplossing mee in de volgende reguliere release. Zodra deze update beschikbaar is, rollen we die automatisch uit op alle managed servers.
Moet je iets doen?
Nee. De beschermende maatregel is al actief. Wij zorgen ook voor de benodigde PHP-update zodra deze beschikbaar is.