CVE-2026-115560: henvisning om session-upload-progress

Kort sagt: CVE-2026-115560 er en henvisning, som php.net offentliggjorde den 23. oktober 2026. Kodeudførelse på afstand er ifølge den kun mulig ved en usædvanlig sessionkonfiguration. Indtil den næste almindelige bugfix-release lyder afhjælpningen: sæt session.upload_progress.enabled=0 på serversiden og genstart alle workers.

Hvad er CVE-2026-115560?

To dage efter rettelserne til PHP2Shell-sårbarhederne CVE-2026-109618 og CVE-2026-109619 offentliggjorde PHP-projektet endnu en henvisning. CVE-2026-115560 vedrører PHP's sessionbehandling i forbindelse med funktionen session-upload-progress, som lægger fremdriften af igangværende filuploads i sessionen.

Ifølge php.net er kørsel af skadelig kode på afstand mulig, men kun ved en usædvanlig konfiguration. Den fulde advisory med alle detaljer skal følge med den næste almindelige bugfix-release. Indtil da er vidensgrundlaget bevidst kortfattet.

Hvad gør session-upload-progress?

Session-upload-progress er en komfortfunktion i PHP. Uploader en besøgende en større fil, skriver PHP under uploaden løbende oplysninger om fremdriften ind i sessionen: hvor mange data der allerede er ankommet, og hvilken fil der netop overføres. En applikation kan parallelt hente disse oplysninger og bygge en statuslinje ud af dem.

I praksis bruger kun få applikationer det, for moderne uploadformularer måler som regel fremdriften direkte i browseren. I PHP er funktionen dog slået til som standard. Derfor optræder den både ved CVE-2026-115560 og ved de midlertidige foranstaltninger mod PHP2Shell: Det, der ikke bruges, bør være slået fra.

Hvornår er en server berørt af CVE-2026-115560?

Ifølge henvisningen fra php.net skal tre betingelser være opfyldt samtidig:

1. I konfigurationen er værdien php_binary eller php_serialize angivet som session.serialize_handler.
2. Applikationen stiller denne værdi om til php ved kørsel via ini_set(), før den kalder session_start().
3. Session-upload-progress er aktiv.

Standardværdien for session.serialize_handler er php. En omstilling i konfigurationen og en tilbagestilling i koden er usædvanlig, men forekommer i udvoksede egenudviklinger eller ved biblioteker med egen sessionhåndtering. Om det gælder hos jer, kan kontrolleres.

Sådan kontrollerer I jeres konfiguration

Først de gældende værdier. CLI kan læse en anden php.ini end PHP-FPM eller mod_php; kontrollér derfor også konfigurationen af webserveren eller FPM-poolen.

php -i | grep -E "session.serialize_handler|session.upload_progress.enabled"
grep -rn "serialize_handler\|upload_progress" /etc/php/ 2>/dev/null   # stien varierer fra distribution til distribution

Derefter applikationskoden. Den følgende søgning er rent læsende og viser steder, hvor handleren sættes ved kørsel:

grep -rn "session.serialize_handler" /var/www/ --include="*.php"

Finder søgningen intet, og står handleren i konfigurationen på php, er den beskrevne kombination usandsynlig. Slukke bør I alligevel session-upload-progress, for php.net nævner den samme indstilling også som midlertidig foranstaltning mod PHP2Shell.

Afhjælpning: session.upload_progress.enabled=0

Sæt værdien i php.ini, i FPM-poolen eller i serverkonfigurationen. Ifølge php.net udtrykkeligt ikke via ini_set() eller .user.ini, for dér virker den for sent eller kan overskrives af applikationen.

; php.ini (for alle pools og SAPI'er, som læser denne fil)
session.upload_progress.enabled = 0

; eller i FPM-poolen
php_admin_flag[session.upload_progress.enabled] = off

# Apache med mod_php, i VirtualHost eller i serverkonfigurationen
php_admin_flag session.upload_progress.enabled off

Genstart derefter alle PHP-workers, f.eks. systemctl restart php8.3-fpm eller Apache ved mod_php. Pakke- og tjenestenavne afviger fra distribution til distribution. Uden genstart kører den gamle indstilling videre. Mere herom under Genstart PHP-FPM og alle workers.

Vurdering ved siden af PHP2Shell

CVE-2026-115560 er markant snævrere end de to PHP2Shell-sårbarheder, som virker i de sædvanlige driftsformer uden særlig konfiguration. Den, der skal prioritere, bør først indspille PHP2Shell-opdateringen og derefter sætte session.upload_progress.enabled=0. Begge dele kan lade sig gøre i ét vedligeholdelsesvindue.

For direktion og ikke-teknikere: CVE-2026-115560 er ingen grund til uro, men et punkt på listen. Indstillingen er hurtigt sat, har næppe mærkbar virkning på nogen applikation og dækker samtidig en af de midlertidige foranstaltninger mod PHP2Shell. De øvrige midlertidige foranstaltninger fra php.net står under Akutforanstaltninger, hvis I endnu ikke kan rette, almindelige henvisninger om sessionkonfiguration under Sikr sessioner i PHP.

Hvad vi endnu ikke ved: præcis hvilke PHP-versioner der er berørt, og hvilken release der bringer rettelsen. Vi opdaterer denne side, så snart advisoryen udkommer.

Hvordan hjælper PHP SOS konkret?

Som led i serverhærdningen gennemfører vi afhjælpningen varigt og kontrollerbart:

• Læse konfigurationen: gældende sessionværdier pr. SAPI, pool og virtuel vært.
• Gennemsøge koden: steder, hvor handler eller sessionindstillinger ændres ved kørsel.
• Slukke det rigtige sted: i php.ini, pool eller serverkonfiguration, uden mulighed for at applikationen overskriver det, med efterfølgende genstart.
• Følge op: Når bugfix-releasen udkommer, indspiller vi den og dokumenterer status.

Ofte stillede spørgsmål

Kilder

• php.net: Sikkerhedsmeddelelser
• PHP 8 ChangeLog
• OWASP Cheat Sheets