CVE-2026-115560: anvisningen om Session Upload Progress

Kort sagt: CVE-2026-115560 är en anvisning som php.net publicerade den 23 oktober 2026. Kodkörning på distans är enligt den bara möjlig vid en ovanlig sessionskonfiguration. Fram till nästa ordinarie buggfixsläpp lyder åtgärden: sätt session.upload_progress.enabled=0 på serversidan och starta om alla workers.

Vad är CVE-2026-115560?

Två dagar efter patcharna för PHP2Shell-sårbarheterna CVE-2026-109618 och CVE-2026-109619 publicerade PHP-projektet ytterligare en anvisning. CVE-2026-115560 berör PHP:s sessionshantering i kombination med funktionen Session Upload Progress, som lagrar förloppet för pågående filuppladdningar i sessionen.

Enligt php.net är körning av skadlig kod på distans möjlig, men bara vid en ovanlig konfiguration. Den fullständiga advisoryn med alla detaljer ska följa med nästa ordinarie buggfixsläpp. Till dess är kunskapsläget medvetet knappt.

Vad gör Session Upload Progress?

Session Upload Progress är en bekvämlighetsfunktion i PHP. Laddar en besökare upp en större fil skriver PHP under uppladdningen löpande uppgifter om förloppet i sessionen: hur mycket data som redan har kommit fram och vilken fil som just överförs. En applikation kan parallellt fråga efter dessa uppgifter och bygga en förloppsindikator av dem.

I praktiken använder bara få applikationer det, eftersom moderna uppladdningsformulär oftast mäter förloppet direkt i webbläsaren. I PHP är funktionen dock påslagen som standard. Därför dyker den upp både vid CVE-2026-115560 och bland övergångsåtgärderna mot PHP2Shell: Det som inte behövs bör vara avstängt.

När är en server berörd av CVE-2026-115560?

Enligt anvisningen från php.net måste tre villkor sammanfalla:

1. I konfigurationen är session.serialize_handler satt till värdet php_binary eller php_serialize.
2. Applikationen ställer vid körning om detta värde till php med ini_set() innan den anropar session_start().
3. Session Upload Progress är aktivt.

Standardvärdet för session.serialize_handler är php. En omställning i konfigurationen och en återställning i koden är ovanlig, men förekommer i utväxta egenutvecklingar eller i bibliotek med egen sessionshantering. Om det gäller hos er går att kontrollera.

Så kontrollerar ni er konfiguration

Först de gällande värdena. CLI kan läsa en annan php.ini än PHP-FPM eller mod_php; kontrollera därför också konfigurationen för webbservern eller FPM-poolen.

php -i | grep -E "session.serialize_handler|session.upload_progress.enabled"
grep -rn "serialize_handler\|upload_progress" /etc/php/ 2>/dev/null   # sökvägen skiljer sig mellan distributioner

Därefter applikationskoden. Följande sökning är rent läsande och visar ställen där hanteraren sätts vid körning:

grep -rn "session.serialize_handler" /var/www/ --include="*.php"

Hittar sökningen inget och står hanteraren i konfigurationen på php är den beskrivna kombinationen osannolik. Stäng ändå av Session Upload Progress, eftersom php.net anger samma inställning även som övergångsåtgärd mot PHP2Shell.

Åtgärd: session.upload_progress.enabled=0

Sätt värdet i php.ini, i FPM-poolen eller i serverkonfigurationen. Enligt php.net uttryckligen inte via ini_set() eller .user.ini, eftersom det där verkar för sent eller kan skrivas över av applikationen.

; php.ini (för alla pooler och SAPI:er som läser den här filen)
session.upload_progress.enabled = 0

; eller i FPM-poolen
php_admin_flag[session.upload_progress.enabled] = off

# Apache med mod_php, i VirtualHost eller i serverkonfigurationen
php_admin_flag session.upload_progress.enabled off

Starta därefter om alla PHP-workers, till exempel systemctl restart php8.3-fpm eller Apache vid mod_php. Paket- och tjänstnamn skiljer sig mellan distributioner. Utan omstart fortsätter den gamla inställningen att gälla. Mer om det under Starta om PHP-FPM och alla workers.

Placering bredvid PHP2Shell

CVE-2026-115560 är betydligt snävare än de två PHP2Shell-sårbarheterna, som slår till i de vanliga driftlägena utan särskild konfiguration. Den som just nu måste prioritera bör först installera PHP2Shell-uppdateringen och därefter sätta session.upload_progress.enabled=0. Båda tillsammans går att göra i ett underhållsfönster.

För ledning och icke-tekniker: CVE-2026-115560 är ingen anledning till oro, men en punkt på listan. Inställningen är snabbt satt, märks knappt i någon applikation och täcker samtidigt en av övergångsåtgärderna mot PHP2Shell. De övriga övergångsåtgärderna från php.net står under Akutåtgärder om ni ännu inte kan patcha, allmänna anvisningar om sessionskonfiguration under Säkra sessioner i PHP.

Vad vi ännu inte vet: vilka PHP-versioner som exakt är berörda och vilken release som kommer med rättningen. Vi uppdaterar den här sidan så snart advisoryn kommer.

Hur hjälper PHP SOS konkret?

Inom ramen för serverhärdningen genomför vi åtgärden varaktigt och kontrollerbart:

• Läsa konfigurationen: gällande sessionsvärden per SAPI, pool och virtuell värd.
• Söka igenom koden: ställen där hanterare eller sessionsalternativ ändras vid körning.
• Stänga av på rätt ställe: i php.ini, pool eller serverkonfiguration, inte överskrivbart av applikationen, med efterföljande omstart.
• Följa upp: När buggfixsläppet kommer installerar vi det och dokumenterar läget.

Vanliga frågor

Källor

• php.net: säkerhetsmeddelanden
• PHP 8 ChangeLog
• OWASP Cheat Sheets