A pochi giorni dal rilascio delle correzioni per le vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619, il PHP Security Team ha comunicato il 23 ottobre 2026 l’esistenza di un’ulteriore problematica nella gestione delle sessioni PHP.

La nuova vulnerabilità, identificata come CVE-2026-115560, potrebbe consentire l’esecuzione di codice da remoto (RCE), ma richiede una combinazione poco comune di configurazione del server e comportamento dell’applicazione.

Il PHP Security Team considera questa combinazione di condizioni poco probabile nelle applicazioni reali. Per tale motivo non è stato ritenuto necessario un rilascio straordinario di sicurezza e la correzione sarà inclusa nel prossimo aggiornamento ordinario di PHP.

Quando un’applicazione può essere vulnerabile

Secondo il PHP Security Team, lo sfruttamento richiede che si verifichino contemporaneamente le seguenti condizioni:

1. Il parametro session.serialize_handler è inizialmente configurato come php_binary oppure php_serialize.
2. L’applicazione modifica successivamente tale parametro impostandolo a php mediante la funzione ini_set().
3. La modifica avviene prima della chiamata a session_start().
4. La funzionalità session.upload_progress è abilitata.

Il semplice utilizzo delle sessioni PHP non comporta quindi automaticamente l’esposizione. Il problema riguarda le applicazioni che modificano il gestore di serializzazione secondo la sequenza descritta, mantenendo attivo il monitoraggio degli upload.

La vulnerabilità richiede quindi verifiche mirate sulle applicazioni che modificano dinamicamente il gestore delle sessioni, senza comportare automaticamente un’esposizione per tutte le installazioni PHP.

Come mitigare la vulnerabilità

In attesa del rilascio della correzione, il PHP Security Team raccomanda di disabilitare la funzionalità di monitoraggio dell’avanzamento degli upload, impostando nel file di configurazione PHP:

session.upload_progress.enabled = 0

La modifica deve essere applicata alla configurazione effettivamente utilizzata dal servizio, prima dell’elaborazione delle richieste, e richiede il riavvio dei processi PHP interessati.

Prima di procedere, è opportuno verificare che le applicazioni non dipendano dalla funzionalità di monitoraggio degli upload, che verrà disabilitata.

Secondo il produttore, questa misura impedisce lo sfruttamento del percorso documentato per CVE-2026-115560. Chi aveva già applicato la stessa mitigazione per CVE-2026-109619 non deve intervenire nuovamente, purché l’impostazione sia ancora attiva.

Aggiornamenti e verifiche raccomandate

Al 24 ottobre 2026 non è ancora disponibile una patch per CVE-2026-115560. Il PHP Security Team prevede di rilasciare la correzione e il relativo advisory tecnico nel prossimo aggiornamento ordinario.

Il CERT-AGID raccomanda agli amministratori e ai fornitori dei servizi web di verificare la presenza delle condizioni applicative descritte e, ove necessario, applicare la mitigazione indicata dal produttore.

Gli strumenti di verifica remota basati esclusivamente sulla versione PHP non consentono di individuare questa vulnerabilità, poiché l’esposizione dipende anche dalla configurazione e dal comportamento dell’applicazione. È quindi necessario effettuare controlli direttamente sulle configurazioni e sul codice applicativo.

Si ricorda, inoltre, che gli aggiornamenti PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 correggono le precedenti vulnerabilità CVE-2026-109618 e CVE-2026-109619, ma non risolvono CVE-2026-115560.

Riferimenti

• PHP Security Team, Informational advisory: Session upload progress
• CERT-EU, Security Advisory 2026-018