# CVE-2026-115560: avviż dwar session upload progress

> CVE-2026-115560: meta t-tielet avviż ta' PHP tat-23/10/2026 jaffettwa s-server tagħkom, kif tivverifikaw il-konfigurazzjoni u titfu l-upload progress.

Sors: https://phpsos.de/mt/php2shell/cve-2026-115560/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** CVE-2026-115560 hija nota li php.net ippubblika fit-23 ta' Ottubru 2026. Skontha, eżekuzzjoni ta' kodiċi mill-bogħod hija possibbli biss b'konfigurazzjoni mhux tas-soltu tas-sessjoni. Sal-bugfix release regolari li jmiss ir-rimedju huwa: issettjaw `session.upload_progress.enabled=0` fil-livell tas-server u erġgħu ibdew il-workers kollha.

## X'inhi CVE-2026-115560?

Jumejn wara l-patches għall-vulnerabbiltajiet ta' PHP2Shell CVE-2026-109618 u CVE-2026-109619, il-proġett PHP ippubblika avviż ieħor. CVE-2026-115560 tikkonċerna l-ipproċessar tas-sessjonijiet ta' PHP flimkien mal-funzjoni session upload progress, li tpoġġi l-progress tal-uploads tal-fajls li għaddejjin fis-sessjoni.

Skont php.net, eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod hija possibbli, imma biss b'konfigurazzjoni mhux tas-soltu. L-advisory sħiħ bid-dettalji kollha għandu jiġi mal-bugfix release regolari li jmiss. Sa dakinhar l-għarfien huwa apposta skars.

## X'jagħmel is-session upload progress?

Session upload progress huwa funzjoni ta' kumdità ta' PHP. Meta viżitatur jgħabbi fajl akbar, PHP waqt l-upload jikteb kontinwament fis-sessjoni informazzjoni dwar il-progress: kemm data wasal diġà u liema fajl qed jiġi trasferit bħalissa. Applikazzjoni tista' tistaqsi dawn l-indikazzjonijiet b'mod parallel u minnhom tibni bar tal-progress.

Fil-prattika jużawha ftit applikazzjonijiet, għax formoli moderni tal-upload ġeneralment ikejlu l-progress direttament fil-browser. F'PHP, madankollu, il-funzjoni hija mixgħula b'mod standard. Għalhekk tidher kemm f'CVE-2026-115560 kif ukoll fil-miżuri temporanji kontra PHP2Shell: dak li mhux meħtieġ għandu jkun mitfi.

## Meta server huwa affettwat minn CVE-2026-115560?

Skont l-avviż ta' php.net, tliet kundizzjonijiet iridu jikkonkorru:

1. Fil-konfigurazzjoni, bħala `session.serialize_handler` hemm il-valur `php_binary` jew `php_serialize`.
2. L-applikazzjoni tibdel dan il-valur waqt it-tħaddim permezz ta' `ini_set()` għal `php`, qabel ma ssejjaħ `session_start()`.
3. Session upload progress huwa attiv.

Il-valur standard ta' `session.serialize_handler` huwa `php`. Bidla fil-konfigurazzjoni u rritorn lura fil-kodiċi mhix tas-soltu, imma sseħħ f'żviluppi proprji li kibru maż-żmien jew f'libreriji bi trattament proprju tas-sessjonijiet. Jekk dan japplikax għalikom jista' jiġi vverifikat.

## Kif tivverifikaw il-konfigurazzjoni tagħkom

L-ewwel il-valuri effettivi. Is-CLI tista' taqra php.ini differenti minn PHP-FPM jew mod_php; għalhekk iċċekkjaw ukoll il-konfigurazzjoni tas-server tal-web jew tal-pool FPM.

```bash
php -i | grep -E "session.serialize_handler|session.upload_progress.enabled"
grep -rn "serialize_handler\|upload_progress" /etc/php/ 2>/dev/null   # path differenti skont id-distribuzzjoni
```

Imbagħad il-kodiċi tal-applikazzjoni. It-tfittxija li ġejja hija biss ta' qari u turi postijiet fejn il-handler jiġi ssettjat waqt it-tħaddim:

```bash
grep -rn "session.serialize_handler" /var/www/ --include="*.php"
```

Jekk it-tfittxija ma ssib xejn u l-handler fil-konfigurazzjoni huwa `php`, il-kombinazzjoni deskritta mhix probabbli. Għandkom xorta titfu s-session upload progress, għax php.net isemmi l-istess issettjar bħala miżura temporanja kontra PHP2Shell.

## Rimedju: session.upload_progress.enabled=0

Issettjaw il-valur fil-php.ini, fil-pool FPM jew fil-konfigurazzjoni tas-server. Skont php.net espliċitament mhux permezz ta' `ini_set()` jew `.user.ini`, għax hemmhekk jaħdem tard wisq jew jista' jiġi sovrascrit mill-applikazzjoni.

```ini
; php.ini (għall-pools u l-SAPIs kollha li jaqraw dan il-fajl)
session.upload_progress.enabled = 0

; jew fil-pool FPM
php_admin_flag[session.upload_progress.enabled] = off
```

```apache
# Apache b'mod_php, fil-VirtualHost jew fil-konfigurazzjoni tas-server
php_admin_flag session.upload_progress.enabled off
```

Wara erġgħu ibdew il-workers kollha ta' PHP, pereżempju `systemctl restart php8.3-fpm` jew Apache fil-każ ta' mod_php. L-ismijiet tal-pakketti u tas-servizzi jvarjaw skont id-distribuzzjoni. Mingħajr restart l-issettjar il-qadim ikompli jaħdem. Aktar dwar dan f'[Restart ta' PHP-FPM u tal-workers kollha](https://phpsos.de/mt/php2shell/php-fpm-neustart/).

> **Suġġeriment:**
> Wara r-restart iċċekkjaw jekk l-issettjar jaħdimx tassew: fil-kuntest tal-web, mhux biss fuq il-linja tal-kmand. Paġna phpinfo mwaqqfa għal ftit żmien u protetta mill-aċċess turi l-valur effettiv; ħassruha minnufih wara.

## Klassifikazzjoni ħdejn PHP2Shell

CVE-2026-115560 hija ferm aktar dejqa miż-żewġ vulnerabbiltajiet ta' PHP2Shell, li jaħdmu fil-modalitajiet tat-tħaddim tas-soltu mingħajr konfigurazzjoni speċjali. Min bħalissa jrid jipprijoritizza għandu l-ewwel jinstalla l-aġġornament ta' PHP2Shell u wara jissettja `session.upload_progress.enabled=0`. It-tnejn flimkien huma fattibbli f'tieqa ta' manutenzjoni waħda.

Għad-direzzjoni u għal min mhux tekniku: CVE-2026-115560 mhix raġuni għall-inkwiet, imma punt fuq il-lista. L-issettjar jitwettaq malajr, ftit li xejn japplikazzjoni tħossu, u fl-istess ħin ikopri waħda mill-miżuri temporanji kontra PHP2Shell. Il-miżuri temporanji l-oħra ta' php.net jinsabu f'[Miżuri immedjati jekk għad ma tistgħux tippatchjaw](https://phpsos.de/mt/php2shell/sofortmassnahmen-ohne-patch/), u indikazzjonijiet ġenerali dwar il-konfigurazzjoni tas-sessjonijiet f'[Kif tissiguraw is-sessjonijiet f'PHP](https://phpsos.de/mt/ratgeber/session-sicherheit-php/).

Dak li għadna ma nafux: liema verżjonijiet ta' PHP huma affettwati eżattament u liema release iġib il-korrezzjoni. Naġġornaw din il-paġna hekk kif jidher l-advisory.

## Kif tgħin PHP SOS b'mod konkret?

Fil-qafas tat-[tisħiħ tas-server](https://phpsos.de/mt/leistungen/server-haertung/) napplikaw ir-rimedju b'mod permanenti u li jista' jiġi vverifikat:

- **Naqraw il-konfigurazzjoni:** valuri effettivi tas-sessjoni għal kull SAPI, pool u virtual host.
- **Infittxu fil-kodiċi:** postijiet fejn il-handler jew l-għażliet tas-sessjoni jinbidlu waqt it-tħaddim.
- **Nitfu fil-post it-tajjeb:** fil-php.ini, fil-pool jew fil-konfigurazzjoni tas-server, mhux sovrascrivibbli mill-applikazzjoni, segwit minn restart.
- **Insegwu:** Meta joħroġ il-bugfix release, ninstallawh u niddokumentaw l-istat.


## Mistoqsijiet frekwenti

**CVE-2026-115560 hija parti minn PHP2Shell?**  
L-avviż wasal jumejn wara l-patches ta' PHP2Shell u jikkonċerna wkoll PHP innifsu. Madankollu hija vulnerabbiltà separata b'numru CVE proprju u taħdem biss b'konfigurazzjoni speċifika u mhux tas-soltu. L-aġġornamenti ta' PHP2Shell tal-21 ta' Ottubru ma jirranġawhiex, skont l-istat sa issa.

**Hemm diġà aġġornament kontra CVE-2026-115560?**  
Skont l-istat tal-25/10/2026 le. php.net jħabbar li l-advisory sħiħ jiġi mal-bugfix release regolari li jmiss. Sa dakinhar session.upload_progress.enabled=0 huwa r-rimedju rakkomandat.

**X'jinkiser jekk nitfi s-session upload progress?**  
Il-funzjoni tirrapporta lill-applikazzjoni l-progress tal-uploads tal-fajls li għaddejjin. Biss applikazzjonijiet li jimplimentaw bar tal-progress bħal dan permezz ta' din il-funzjoni ta' PHP jitilfu l-indikazzjoni. L-upload innifsu jkompli jaħdem.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)