PHP shares mitigation for new RCE vulnerability with no patch

Vulnérabilité critique dans PHP : CVE-2026-115560

Une nouvelle vulnérabilité de type exécution de code à distance (RCE) a été identifiée dans PHP. Bien qu’aucun correctif ne soit disponible pour le moment, l’équipe de sécurité PHP a précisé que l’exploitation nécessite une configuration spécifique et inhabituelle, limitant ainsi les risques pour la majorité des serveurs.

Points clés :

• Risque restreint : La faille ne concerne que les systèmes utilisant une combinaison spécifique de paramètres (session.serialize_handler configuré sur php_binary ou php_serialize dans la configuration, puis modifié dynamiquement en php via ini_set() avant session_start()).
• Contexte global : Parallèlement, les vulnérabilités “PHP2Shell” (CVE-2026-109618 et CVE-2026-109619), déjà corrigées, font l’objet de tentatives d’exploitation actives à grande échelle suite à des fuites d’informations avant la publication des correctifs.

Vulnérabilités :

• CVE-2026-115560 : RCE dans PHP (en attente de correctif).
• CVE-2026-109618 & CVE-2026-109619 (PHP2Shell) : RCE critiques (correctifs disponibles).

Recommandations :

• Atténuation immédiate pour CVE-2026-115560 : Désactiver la progression du téléchargement de session en configurant session.upload_progress.enabled=0 dans le fichier php.ini.
• Mise à jour : Pour les failles PHP2Shell, s’assurer que les correctifs officiels publiés mercredi sont bien déployés sur tous les serveurs PHP, ces vulnérabilités étant activement ciblées par des attaquants.

Source