PHP מסמנת סיכון RCE לא מתוקן בהגדרה צרה לאחר תיקוני החירום של PHP2Shell

PHP הזהירה מפני דרך נוספת שבה תוקף יכול להריץ קוד על שרת ווב, יומיים לאחר שהפיצה תיקוני חירום עבור הפגמים הקריטיים ב-PHP2Shell. הבעיה החדשה מסומנת כ-CVE-2026-115560 ומשפיעה רק על אפליקציות ווב שמוגדרות באופן חריג, לפי הפרויקט. PHP רואה בה סיכון בסבירות נמוכה ואינה מפרסמת תיקון חירום עבורה.

התראה חדשה והקלה מומלצת

האזהרה הופיעה בהתראה מידעית קצרה שפורסמה ב-23 באוקטובר. PHP ממליצה לכבות תכונה בשם session upload progress עד שתיקון יהיה זמין בשחרור השגרתי הבא. הפעולה היא שורה אחת: יש להגדיר session.upload_progress.enabled=0 עד לשחרור תיקוני הבאגים השגרתי הבא.

זו אותה הגדרה ש-PHP כבר ציינה כהקלה בהתראה מ-21 באוקטובר עבור CVE-2026-109619. מי שהחיל אותה אז והשאיר אותה במקום אינו צריך לעשות דבר נוסף עבור הבעיה החדשה. session upload progress מופעלת כברירת מחדל ומאפשרת לאפליקציה לעקוב אחר התקדמות העלאת קובץ.

תצורה צרה בסיכון

PHP אומרת שהבעיה יכולה להתרחש כאשר אפליקציית ווב עושה את כל הדברים הבאים: מגדירה את האפשרות session.serialize_handler ל-php_binary או ל-php_serialize בתצורה שלה, לאחר מכן משנה את האפשרות הזו ל-php בזמן ריצה באמצעות קריאה ל-ini_set(), ומבצעת את השינוי לפני שהיא קוראת ל-session_start(). session upload progress גם חייבת עדיין להיות מופעלת.

אפליקציה שלעולם אינה משנה את מטפל הסריאליזציה בזמן ריצה יכולה להשאיר את התכונה מופעלת ואינה חשופה דרך הנתיב הזה, לפי PHP. הפרויקט אומר שהתצורה הזו אינה סבירה בפועל. מכיוון שהתצורה נדירה, PHP מטפלת בתיקון כחלק ממחזור השחרור הרגיל שלה ולא כחירום, והיא תפרסם התראה מלאה עבור CVE-2026-115560 עם השחרור הבא.

PHP לא ציינה אילו גרסאות מושפעות, אילו שחרורים יכילו את התיקון, או ציון חומרה. היא גם לא אמרה אם הבעיה החדשה חולקת גורם שורש עם CVE-2026-109619. לא דווח על ניצול של CVE-2026-115560.

פגמי PHP2Shell קודמים ופעילות תקיפה

הבעיה החדשה באה לאחר שחרור החירום מ-21 באוקטובר שתיקן שני פגמים קריטיים ב-PHP2Shell, CVE-2026-109618 ו-CVE-2026-109619, שאפשרו לתוקף ללא חשבון להריץ קוד על שרת. אלה תוקנו ב-PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. הבעיה החדשה נפרדת ואינה מתוקנת על ידי השחרורים האלה.

תקיפות שדווחו מאז 21 באוקטובר מכוונות לשני פגמי PHP2Shell הקודמים. הניסיונות לנצל את הפגמים האלה זינקו. Amazon אמרה שכוורות הדבש שלה תיעדו ניסיון ניצול נגד CVE-2026-109618 ו-CVE-2026-109619 ב-17 באוקטובר, ארבעה ימים לפני שהפגמים נחשפו. Cloudflare אמרה שהניסיונות עלו מעשרות אלפים בתוך 45 דקות מהחשיפה ב-21 באוקטובר למיליונים עד תחילת 22 באוקטובר.

תוקפים ניסו להשתמש בפגמים כדי להתקין וריאנט של בוטנט Mirai, לפי Sophos ו-Arctic Wolf. הניסיונות האלה נכשלו עד כה: Previdian, Wordfence ואחרים מדווחים על סריקה ובדיקה אך לא על הרצת קוד מאושרת, וחוקרים אומרים שניצול אמין מתברר כקשה יותר לבנייה מהצפוי. הפעילות הזו מכוונת לשני הפגמים שתוקנו ב-21 באוקטובר, ולא ל-CVE-2026-115560, שלא דווח עליו כנתון לתקיפה.

סיקור קודם: תיקוני PHP2Shell יצאו: מה נמצא בסיכון ואיך להגן על אתרי PHP · VulnCheck מפתחת ניצול PHP2Shell שעוקף ASLR במערכות ייצור

מקורות: The Hacker News · PHP · CERT-EU