veilletech.fr
24 oct. Feed du jour
#04 SÉCURITÉ Faille

PHP : CVE-2026-115560, coupez l'upload progress

Un seul réglage, déjà conseillé il y a deux jours.

Deux jours après les correctifs d'urgence de PHP2Shell, PHP avertit d'une autre voie d'exécution de code, CVE-2026-115560, qui exige une configuration inhabituelle : serialize_handler modifié à l'exécution et suivi d'envoi de fichiers actif. Pas de correctif d'urgence : le projet conseille session.upload_progress.enabled=0 en attendant la prochaine version corrective.

2 min de lectureintermédiairevidéo 1:23
Partager
Sommaire5 sections
  1. Ce qui se passe
  2. Les conditions, toutes requises
  3. Ce que PHP n'a pas dit
  4. Comment s'y prendre
  5. À retenir

Ce qui se passe

Le 23 octobre 2026, PHP a publié un avis d'information sur une autre manière d'exécuter du code sur un serveur web : CVE-2026-115560. Elle vient deux jours après les correctifs d'urgence du 21 octobre pour PHP2Shell (CVE-2026-109618 et CVE-2026-109619, corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35). Ces versions ne corrigent pas la nouvelle.

PHP ne publie pas de version d'urgence. Il juge le risque improbable, traitera le correctif dans sa prochaine version corrective ordinaire et publiera l'avis complet à ce moment. Volker Dusch, de la PHP Foundation, parle à Laravel News de conditions très particulières et d'une faille mineure en comparaison de PHP2Shell.

Les conditions, toutes requises

  1. session.serialize_handler vaut php_binary ou php_serialize dans la configuration ;
  2. le code le repasse à php pendant l'exécution, par ini_set(), avant session_start() ;
  3. le suivi de progression des envois (session.upload_progress), actif par défaut, est toujours allumé.
PHP
// Montage à risque (illustratif) : php.ini fixe php_serialize, puis…
ini_set('session.serialize_handler', 'php');
session_start();

Une application qui ne change jamais le handler en cours d'exécution peut garder la fonction active : elle n'est pas exposée par cette voie.

Ce que PHP n'a pas dit

L'avis ne précise ni les versions touchées, ni les versions qui corrigeront, ni une note de gravité, ni si la cause est la même que celle de CVE-2026-109619. Aucune exploitation de cette faille n'est signalée. Les attaques observées depuis le 21 octobre visent les deux premières, avec des tentatives qui se comptent en millions selon Cloudflare ; les essais d'installation d'une variante de Mirai ont échoué jusqu'ici, et les chercheurs jugent un exploit fiable plus difficile à écrire que prévu.

Comment s'y prendre

Désactiver le suivi de progression, puis recharger PHP-FPM ou le serveur web :

INI
; php.ini
session.upload_progress.enabled = 0

C'est le même réglage que celui que PHP listait déjà comme parade à CVE-2026-109619 dans son avis du 21 octobre (GHSA-6wmf-4rv5-p3rp). Si vous l'avez appliqué alors et laissé en place, il n'y a rien d'autre à faire. Contrepartie : une application qui affiche une barre de progression d'envoi à partir de cette fonction la perd.

Source : The Hacker News, 23 octobre 2026. Source en anglais. Compléments : avis PHP du 23 octobre, entretien avec Volker Dusch, Laravel News.