La vulnerabilitat CVE-2026-115560 afecta configuracions poc habituals i, per ara, no compta amb un pedaç específic. El projecte recomana desactivar temporalment el seguiment de les pujades de fitxers, mentre continuen els intents d’explotació de les dues fallades anteriors, conegudes com a PHP2Shell.

El projecte PHP ha advertit d’una nova vulnerabilitat que podria permetre que un atacant executi codi en un servidor web, tot just dos dies després de publicar correccions d’emergència per a dos errors crítics de seguretat. La nova incidència, identificada com a CVE-2026-115560, afecta una combinació poc habitual d’ajustaments i codi d’aplicació, per la qual cosa l’equip de PHP considera que el risc és improbable a la majoria de les instal·lacions.

A diferència de les vulnerabilitats anteriors, aquesta nova incidència no ha motivat una actualització d’emergència. En comptes d’això, PHP recomana desactivar temporalment una funció anomenada session upload progress, que permet que les aplicacions web mostrin el progrés de la pujada de fitxers. La correcció definitiva s’incorporarà en una pròxima actualització ordinària, segons l’avís informatiu publicat el 23 d’octubre.

La recomanació té una particularitat: la mateixa mesura ja figurava entre les mitigacions proposades el 21 d’octubre per a una de les dues vulnerabilitats crítiques de PHP2Shell. Per tant, els administradors que ja hagin desactivat aquesta funció i mantinguin l’ajust aplicat no necessiten fer una modificació addicional per aquest problema nou.

Una vulnerabilitat que requereix una configuració molt concreta

La vulnerabilitat CVE-2026-115560 no afecta indiscriminadament totes les instal·lacions de PHP. Perquè es pugui produir el problema, l’aplicació ha de combinar diversos paràmetres específics.

En primer lloc, ha de fer servir una configuració determinada per serialitzar les dades de sessió i canviar-la després durant l’execució del programa, abans d’iniciar la sessió. A més, la funció de seguiment del progrés de les pujades de fitxers ha de continuar habilitada.

La recomanació provisional consisteix a establir el paràmetre següent en la configuració de PHP: session.upload_progress.enabled=0

Aquest paràmetre desactiva el seguiment del progrés de les pujades de fitxers, però no implica necessàriament deshabilitar les mateixes pujades. No obstant això, els administradors han de comprovar si les seves aplicacions depenen d’aquesta funcionalitat abans d’aplicar el canvi.

De moment, PHP no ha precisat a l’avís les versions afectades per aquesta nova vulnerabilitat ni ha publicat una puntuació de gravetat. Tampoc ha informat d’atacs que l’estiguin explotant activament.

Què va passar amb PHP2Shell

La nova alerta arriba després que PHP publiqués el 21 d’octubre actualitzacions d’emergència per a dues vulnerabilitats crítiques, identificades com a CVE-2026-109618 i CVE-2026-109619 i agrupades sota el nom PHP2Shell.

Les dues errades es troben al mateix nucli de PHP, el llenguatge de programació utilitzat per executar bona part de les aplicacions web. En circumstàncies determinades, un atacant remot sense necessitat d’autenticar-se podia aprofitar errors en el tractament de les sol·licituds HTTP per provocar corrupció o accés indegut a la memòria i arribar a executar codi al servidor.

Les dues vulnerabilitats tenien una puntuació de 9,2 sobre 10 segons el CVSS 4.0. La primera estava relacionada amb un error en la gestió de la memòria quan els recursos s’esgotaven durant el processament d’una sol·licitud. La segona permetia que el programa conservés referències a la memòria que ja no era vàlida després de produir-se un error.

La gravetat del problema era que l’execució de codi podia obrir la porta al robatori d’informació, la instal·lació de programari maliciós, la modificació d’arxius o el control del servidor afectat. No era una vulnerabilitat específica de WordPress o d’un complement concret, sinó del mateix entorn d’execució de PHP.

Les versions corregides publicades el 21 d’octubre van ser PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Els administradors de versions antigues o fora de suport han de comprovar les actualitzacions proporcionades per la distribució o el proveïdor de manteniment.

Els intents d’explotació van començar abans de la publicació

La preocupació pel PHP2Shell no es limita a les seves possibilitats tècniques. Amazon Threat Intelligence va informar que els seus sistemes esquer van detectar un intent d’explotació el 17 d’octubre, quatre dies abans que es fessin públiques les vulnerabilitats i es distribuïssin les correccions.

Després de la divulgació, l’activitat va augmentar ràpidament. Cloudflare va informar que els intents van passar de milers durant les hores prèvies a l’anunci a desenes de milers en els primers 45 minuts, centenars de milers en les dues hores següents i milions posteriorment.

La informació publicada per Amazon i Cloudflare confirma que els atacants van començar a cercar servidors vulnerables amb rapidesa. Investigadors de seguretat també van observar intents de fer servir les vulnerabilitats per instal·lar variants de la botnet Mirai, una família de programari maliciós que permet controlar dispositius compromesos i utilitzar-los, entre altres activitats, per llançar atacs distribuïts de denegació de servei. Les anàlisis publicades inicialment van descriure intents d’explotació, sense confirmar que aquestes operacions haguessin aconseguit comprometre amb èxit els servidors atacats.