# CVE-2026-115560: nóta faoi Session Upload Progress

> CVE-2026-115560: cathain a bhuaileann an tríú nóta PHP an 23.10.2026 do fhreastalaí, conas a sheiceálann tú an chumraíocht agus Upload Progress a mhúchadh.

Foinse: https://phpsos.de/ga/php2shell/cve-2026-115560/  
Staid: 25/10/2026  
Soláthraí: PHP SOS, Cabhair éigeandála PHP agus slándáil freastalaí. Cabhair láithreach trí WhatsApp: https://wa.me/491736494914?text=Dia%20duit%2C%20a%20PHP%20SOS%2C%20t%C3%A1%20cabhair%20de%20dh%C3%ADth%20orainn%20len%C3%A1r%20bhfreastala%C3%AD%20PHP.%20Cuideachta%3A%20%E2%80%A6%20Su%C3%ADomh%20gr%C3%A9as%C3%A1in%3A%20%E2%80%A6

**Go achomair:** Nóta is ea CVE-2026-115560 a d'fhoilsigh php.net an 23 Deireadh Fómhair 2026. De réir an nóta tá rith cóid ón gcianrochtain indéanta ach amháin le cumraíocht seisiúin neamhghnách. Go dtí an chéad eisiúint rialta ceartúcháin eile is é an leigheas: `session.upload_progress.enabled=0` a leagan ar thaobh an fhreastalaí agus gach oibrí a atosú.

## Cad is CVE-2026-115560 ann?

Dhá lá tar éis na bpaistí do leochaileachtaí PHP2Shell CVE-2026-109618 agus CVE-2026-109619, d'fhoilsigh tionscadal PHP nóta eile. Baineann CVE-2026-115560 le próiseáil seisiúin PHP i gcomhar leis an bhfeidhm Session Upload Progress, a stórálann dul chun cinn uaslódálacha comhad atá ar siúl sa seisiún.

De réir php.net tá cód mailíseach a rith ón gcianrochtain indéanta, ach amháin le cumraíocht neamhghnách. Leanfaidh an advisory iomlán lena shonraí go léir leis an gcéad eisiúint rialta ceartúcháin eile. Go dtí sin, tá an t-eolas gearr d'aon ghnó.

## Cad a dhéanann Session Upload Progress?

Is feidhm áise de chuid PHP é Session Upload Progress. Nuair a uaslódálann cuairteoir comhad níos mó, scríobhann PHP le linn na huaslódála eolas faoin dul chun cinn sa seisiún: cé mhéad sonraí atá tagtha cheana agus cén comhad atá á aistriú faoi láthair. Féadann feidhmchlár an t-eolas seo a iarraidh i gcomhthráth agus barra dul chun cinn a thógáil as.

Sa chleachtas, is beag feidhmchlár a úsáideann é seo, mar go ndéanann foirmeacha uaslódála nua-aimseartha an dul chun cinn a thomhas go díreach sa bhrabhsálaí de ghnáth. In PHP áfach tá an fheidhm ar siúl de réir réamhshocraithe. Dá bhrí sin feictear í i CVE-2026-115560 agus sna bearta idirthréimhseacha i gcoinne PHP2Shell araon: ba cheart an rud nach bhfuil de dhíth a mhúchadh.

## Cathain a bhíonn freastalaí buailte ag CVE-2026-115560?

De réir nóta php.net caithfidh trí choinníoll teacht le chéile:

1. Sa chumraíocht tá an luach `php_binary` nó `php_serialize` curtha isteach mar `session.serialize_handler`.
2. Athraíonn an feidhmchlár an luach seo ag am rite go `php` le `ini_set()` sula nglaonn sé `session_start()`.
3. Tá Session Upload Progress gníomhach.

Is é `php` luach réamhshocraithe `session.serialize_handler`. Is neamhghnách athrú sa chumraíocht agus athrú ar ais sa chód, ach tarlaíonn sé i bhforbairtí féin atá fás le himeacht ama nó i leabharlanna le láimhseáil seisiúin féin. An mbaineann sé seo leatsa, is féidir é a sheiceáil.

## Conas a sheiceálann tú do chumraíocht

Ar dtús na luachanna éifeachtacha. Is féidir leis an CLI php.ini difriúil a léamh ó PHP-FPM nó mod_php; dá bhrí sin seiceáil cumraíocht an fhreastalaí gréasáin nó linn FPM freisin.

```bash
php -i | grep -E "session.serialize_handler|session.upload_progress.enabled"
grep -rn "serialize_handler\|upload_progress" /etc/php/ 2>/dev/null   # cosán difriúil de réir dáilte
```

Ansin cód an fheidhmchláir. Níl sa chuardach seo ach léamh amháin agus taispeánann sé áiteanna ina leagtar an láimhseálaí ag am rite:

```bash
grep -rn "session.serialize_handler" /var/www/ --include="*.php"
```

Mura bhfaigheann an cuardach aon ní agus mura bhfuil an láimhseálaí sa chumraíocht leagtha ach go `php`, is dócha nach bhfuil an meascán a thuairiscítear ann. Ba cheart duit Session Upload Progress a mhúchadh ar chaoi ar bith, mar go luann php.net an socrú céanna mar bheart idirthréimhseach i gcoinne PHP2Shell.

## Leigheas: session.upload_progress.enabled=0

Leag an luach síos i php.ini, i linn FPM nó i gcumraíocht an fhreastalaí. De réir php.net go sainráite ní trí `ini_set()` ná `.user.ini`, mar go dtagann sé i bhfeidhm ró-dhéanach ansin nó go bhféadfadh an feidhmchlár é a fhorscríobh.

```ini
; php.ini (do gach linn agus SAPI a léann an comhad seo)
session.upload_progress.enabled = 0

; nó i linn FPM
php_admin_flag[session.upload_progress.enabled] = off
```

```apache
# Apache le mod_php, sa VirtualHost nó i gcumraíocht an fhreastalaí
php_admin_flag session.upload_progress.enabled off
```

Ina dhiaidh sin atosaigh gach oibrí PHP, mar shampla `systemctl restart php8.3-fpm` nó Apache i gcás mod_php. Athraíonn ainmneacha pacáistí agus seirbhísí de réir dáilte. Gan atosú leanann an seanshocrú ag rith. Tuilleadh ag [PHP-FPM agus gach oibrí a atosú](https://phpsos.de/ga/php2shell/php-fpm-neustart/).

> **Leid:**
> Seiceáil tar éis an atosaithe an bhfuil an socrú i bhfeidhm i ndáiríre: sa chomhthéacs gréasáin, ní ar an líne ordaithe amháin. Taispeánann leathanach phpinfo a bunaíodh go gearr agus atá cosanta ar rochtain an luach éifeachtach; scrios é láithreach ina dhiaidh sin.

## Catagóiriú taobh le PHP2Shell

Tá CVE-2026-115560 i bhfad níos caoile ná an dá leochaileacht PHP2Shell, a bhuaileann sna gnáthmhodhanna oibriúcháin gan cumraíocht ar leith. An té a chaithfidh tosaíocht a thabhairt, ba cheart dó an nuashonrú PHP2Shell a chur isteach ar dtús agus ansin `session.upload_progress.enabled=0` a leagan. Is féidir an dá cheann a dhéanamh le chéile i bhfuinneog chothabhála amháin.

Don bhainistíocht agus do dhaoine nach teicneoirí iad: níl CVE-2026-115560 ina chúis imní, ach is pointe é ar an liosta. Tá an socrú leagtha go tapa, is beag feidhmchlár a mbíonn tionchar suntasach air agus clúdaíonn sé ag an am céanna ceann de na bearta idirthréimhseacha i gcoinne PHP2Shell. Tá na bearta idirthréimhseacha eile ó php.net ag [Bearta láithreacha mura féidir leat paistiú fós](https://phpsos.de/ga/php2shell/sofortmassnahmen-ohne-patch/), agus leideanna ginearálta faoi chumraíocht seisiúin ag [Seisiúin i PHP a chosaint](https://phpsos.de/ga/ratgeber/session-sicherheit-php/).

An rud nach bhfuil a fhios againn fós: cé na leaganacha PHP go beacht atá buailte agus cén eisiúint a thabharfaidh an ceartúchán. Nuashonróimid an leathanach seo a luaithe a fhoilsítear an advisory.

## Conas a chabhraíonn PHP SOS go nithiúil?

Mar chuid den [chruatú freastalaí](https://phpsos.de/ga/leistungen/server-haertung/) cuirimid an leigheas i bhfeidhm go buan agus ar bhealach inseiceáilte:

- **Cumraíocht a léamh:** luachanna éifeachtacha seisiúin do gach SAPI, linn agus óstach fíorúil.
- **Cód a chuardach:** áiteanna ina n-athraítear láimhseálaí nó roghanna seisiúin ag am rite.
- **Múchadh san áit cheart:** i php.ini, linn nó cumraíocht an fhreastalaí, nach féidir leis an bhfeidhmchlár a fhorscríobh, le hatosú ina dhiaidh sin.
- **Leanúint:** nuair a fhoilsítear an eisiúint ceartúcháin, cuirimid isteach í agus doiciméadaímid an staid.


## Ceisteanna coitianta

**An bhfuil CVE-2026-115560 mar chuid de PHP2Shell?**  
Tháinig an tuairisc dhá lá tar éis phaistí PHP2Shell agus baineann sí le PHP féin freisin. Is leochaileacht ar leith í, áfach, le huimhir CVE féin, agus ní bhuaileann sí ach le cumraíocht áirithe, neamhghnách. De réir na staide go dtí seo ní cheartaíonn nuashonruithe PHP2Shell an 21 Deireadh Fómhair í.

**An bhfuil nuashonrú ann cheana i gcoinne CVE-2026-115560?**  
De réir staid an 25.10.2026 níl. Fógraíonn php.net go leanfaidh an advisory iomlán leis an gcéad eisiúint rialta ceartúcháin eile. Go dtí sin, is é session.upload_progress.enabled=0 an leigheas molta.

**Cad a bhriseann má mhúchaim Session Upload Progress?**  
Tuairiscíonn an fheidhm dul chun cinn uaslódálacha comhad atá ar siúl don fheidhmchlár. Ní chailleann ach feidhmchláir a chuireann barra dul chun cinn den sórt sin i bhfeidhm tríd an bhfeidhm PHP seo an taispeántas. Oibríonn an uaslódáil féin i gcónaí.

## Foinsí

- [php.net: fógraí slándála](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)