Rreziku PHP RCE mbetet i hapur në pritje të një rregullimi rutinë sigurie
Një rrezik PHP RCE i bërë publik së fundmi, domethënë një dobësi që mund t’i lejojë një sulmuesi të ekzekutojë kod nga distanca në një web server, mbetet i parregulluar ndërsa projekti PHP përgatit një rregullim për versionin e ardhshëm rutinë. Çështja gjurmohet si CVE-2026-115560, një identifikues publik që përdoret për katalogimin e dobësive të sigurisë. PHP e bëri publike në një njoftim informues më 23 tetor dhe e përshkroi rrezikun praktik si pak të mundshëm, sepse shfrytëzimi kërkon një konfigurim të pazakontë të aplikacionit.
Rruga e cenueshme ekziston vetëm kur plotësohen njëkohësisht disa kushte. Një web application duhet që fillimisht ta konfigurojë session.serialize_handler, cilësimin që kontrollon mënyrën e ruajtjes së të dhënave të session, si php_binary ose php_serialize. Gjatë ekzekutimit, aplikacioni duhet më pas të thërrasë ini_set(), një funksion PHP për ndryshimin e një opsioni konfigurimi, për ta kaluar handler në php. Ky ndryshim duhet të ndodhë përpara session_start(), funksionit që fillon ose rifillon session të një vizitori.
Duhet të jetë aktivizuar edhe session upload progress. Ky funksion, i cili është aktiv si parazgjedhje, i mundëson një aplikacioni të monitorojë ecurinë e ngarkimit të një skedari. PHP thotë se aplikacionet që nuk e ndryshojnë serialization handler gjatë ekzekutimit nuk janë të ekspozuara përmes kësaj rruge dhe mund ta lënë të aktivizuar session upload progress. Projekti vlerëson se kombinimi i plotë i cilësimeve të kërkuara ka pak gjasa të shfaqet në praktikë.
Derisa të publikohet korrigjimi i përhershëm, PHP rekomandon vendosjen e session.upload_progress.enabled=0 në konfigurimin përkatës. Ky cilësim çaktivizon session upload progress. PHP e kishte rekomanduar tashmë të njëjtën masë zbutëse më 21 tetor për CVE-2026-109619, ndaj administratorët që e zbatuan atëherë dhe e kanë mbajtur në fuqi nuk kanë nevojë të bëjnë një ndryshim tjetër për CVE-2026-115560.
Rreziku i ri PHP RCE është i ndarë nga dy dobësitë kritike PHP2Shell të korrigjuara në përditësimin urgjent të 21 tetorit. Dobësitë e mëparshme, CVE-2026-109618 dhe CVE-2026-109619, i lejonin një sulmuesi pa llogari të ekzekutonte kod në një server. Ato u korrigjuan në PHP 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35. Instalimi i këtyre versioneve nuk e korrigjon CVE-2026-115560.
PHP nuk ka përcaktuar se cilat versione preken nga çështja e re, cilat versione të sakta do ta përfshijnë rregullimin e saj apo çfarë vlerësimi të ashpërsisë do të marrë. Projekti gjithashtu nuk ka thënë nëse CVE-2026-115560 dhe CVE-2026-109619 kanë të njëjtin shkak themelor. Një njoftim më i plotë pritet së bashku me versionin e ardhshëm rutinë për korrigjimin e gabimeve, në vend të një përditësimi tjetër urgjent.
Nuk është raportuar asnjë shfrytëzim i CVE-2026-115560. Trafiku i sulmeve i vërejtur që prej 21 tetorit drejtohet ndaj dy dobësive të mëparshme PHP2Shell. Amazon tha se honeypots të saj, sisteme të ekspozuara qëllimisht për regjistrimin e aktivitetit armiqësor, morën më 17 tetor një përpjekje shfrytëzimi që përfshinte CVE-2026-109618 dhe CVE-2026-109619, katër ditë përpara publikimit. Cloudflare raportoi se përpjekjet u rritën nga dhjetëra mijëra gjatë 45 minutave të para pas publikimit të 21 tetorit në miliona deri në orët e para të 22 tetorit.
Sipas Sophos dhe Arctic Wolf, sulmuesit janë përpjekur t’i përdorin dobësitë më të vjetra për të instaluar një Mirai botnet variant, malware që synon t’i shtojë sistemet e infektuara në një rrjet të kontrolluar nga distanca. Deri tani, këto përpjekje kanë dështuar. Previdian, Wordfence dhe vëzhgues të tjerë kanë raportuar scanning dhe probing, domethënë kontrolle të automatizuara për objektiva të cenueshëm, por asnjë ekzekutim të konfirmuar kodi. Studiuesit raportojnë gjithashtu se ndërtimi i një exploit të besueshëm ka qenë më i vështirë nga sa pritej. Ky aktivitet nuk përfaqëson sulme kundër CVE-2026-115560.
Pronarët e faqeve web duhet t’i ndajnë dy veprimet e nevojshme. Versionet e korrigjuara të 21 tetorit trajtojnë CVE-2026-109618 dhe CVE-2026-109619, ndërsa çaktivizimi i session upload progress është masa aktuale zbutëse për çështjen e sapopublikuar. Administratorët që nuk e menaxhojnë drejtpërdrejt PHP-në duhet të pyesin ofruesin e hosting ose zhvilluesin e aplikacionit nëse faqja përdor konfigurimin e kufizuar gjatë ekzekutimit të përshkruar nga PHP dhe nëse është zbatuar cilësimi i përkohshëm.
Për pronarët e faqeve WordPress që kërkojnë një shërbim të menaxhuar, AEU Hosting ofron hosting të menaxhuar për WordPress, të siguruar nga fillimi në fund. Pavarësisht modelit të hosting, operatorët e faqeve duhet ta mbajnë aktive masën zbutëse derisa PHP të publikojë versionin rutinë që përmban rregullimin e përhershëm dhe ata ta instalojnë atë.