Njoftim sigurie nga PHP për session upload progress (CVE-2026-115560): mbajeni të çaktivizuar

Dy ditë pas përditësimeve emergjente për PHP2Shell, ekipi i sigurisë së PHP publikoi një njoftim informues të shkurtër për PHP session upload progress. Mesazhi është i thjeshtë: vendosni session.upload_progress.enabled=0 dhe mbajeni kështu deri në versionin e ardhshëm të rregullt, për t’u mbrojtur plotësisht nga një rrugë e pagjasë ekzekutimi kodi në distancë (RCE).

Lajmi i mirë: nëse e çaktivizuat më 21 tetor si masë mbrojtëse për CVE-2026-109619, keni mbaruar. Thjesht mos e ndryshoni.

Çfarë thotë njoftimi

• Një problem i ri, i regjistruar si CVE-2026-115560, mund të çojë në RCE përmes funksionit session upload progress.
• Çaktivizimi i session upload progress ishte tashmë në listën e masave në njoftimin GHSA-6wmf-4rv5-p3rp për CVE-2026-109619, publikuar më 21 tetor 2026.
• Meqë konfigurimi i rrezikshëm është i rrallë, PHP do ta rregullojë në ciklin e zakonshëm të versioneve, jo me një version tjetër emergjent. Njoftimi i plotë për CVE-2026-115560 do të dalë bashkë me atë version.

Kush preket realisht

Problemi shfaqet vetëm kur plotësohen të treja kushtet:

1. Konfigurimi vendos session.serialize_handler në php_binary ose php_serialize.
2. Aplikacioni më pas e kthen në php gjatë ekzekutimit me ini_set(), para se të thërrasë session_start().
3. Session upload progress është ende aktiv (si parazgjedhje është aktiv).

Nëse aplikacioni juaj nuk e ndryshon kurrë serialize handler gjatë ekzekutimit, mund ta lini funksionin aktiv. Shumica e projekteve në Laravel, Symfony dhe WordPress nuk e bëjnë këtë ndryshim, ndaj rreziku në praktikë është i vogël.

Si ta kontrolloni serverin për dy minuta

1. Shihni cilësimet aktuale (nga CLI, dhe mundësisht edhe nga një faqe phpinfo() në web, sepse FPM dhe CLI shpesh përdorin skedarë php.ini të ndryshëm):

php -i | grep -E 'session.serialize_handler|session.upload_progress.enabled'

2. Kërkoni në kod, përfshirë paketat në vendor, nëse dikush e ndryshon handler-in gjatë ekzekutimit:

grep -rn "serialize_handler" /var/www --include='*.php'

Nëse edhe konfigurimi edhe kodi përputhen me rastin më sipër, jeni në grupin e rrezikuar.

Si ta çaktivizoni PHP session upload progress

Vendoseni në php.ini ose në pool-in e PHP-FPM, pastaj rinisni PHP-FPM ose Apache:

# php.ini
session.upload_progress.enabled = 0

# ose në pool-in e FPM (p.sh. /etc/php/8.4/fpm/pool.d/www.conf)
php_admin_flag[session.upload_progress.enabled] = off

sudo systemctl restart php8.4-fpm   # ose: sudo systemctl restart apache2

Në hosting të përbashkët, pyesni ofruesin ose përdorni opsionet e PHP në panelin e kontrollit. I vetmi ndryshim i dukshëm: shiritat e progresit të ndërtuar mbi këtë funksion të PHP nuk përditësohen më. Ngarkimi i skedarëve vazhdon të funksionojë normalisht.

Përmbledhje

• E keni përditësuar PHP për PHP2Shell dhe e keni çaktivizuar upload progress? Nuk duhet bërë asgjë.
• E keni përditësuar, por upload progress është ende aktiv? Çaktivizimi është i shpejtë dhe pa rrezik.
• Nuk jeni ende në PHP 8.5.12, 8.4.27, 8.3.36 ose 8.2.35? Kjo është përparësia më e madhe. Përditësoni fillimisht.
• Ndiqni versionin e ardhshëm të rregullt të PHP, që do të përfshijë rregullimin e plotë për CVE-2026-115560.

Keni disa servera ose aplikacione PHP dhe doni një kontroll të dytë? Na kontaktoni dhe i kontrollojmë e i forcojmë bashkë.

Burimet: Njoftimi informues i ekipit të sigurisë së PHP, TryHackMe: php2shell patch.