PHP recommande de désactiver la progression du téléchargement de session pour atténuer un nouveau risque d'exécution de code à distance

Le projet PHP a publié un avis informatif signalant une nouvelle vulnérabilité d'exécution de code à distance (RCE), identifiée sous le nom de CVE-2026-115560. Cet avertissement survient seulement deux jours après la publication de correctifs d'urgence pour les failles critiques PHP2Shell. Le projet recommande aux administrateurs de désactiver immédiatement la fonctionnalité de progression du téléchargement de session comme stratégie d'atténuation.

Ce qui s'est passé

Le 23 octobre, l'équipe de développement de PHP a publié un court avis détaillant le nouveau problème de sécurité. Contrairement aux vulnérabilités critiques précédentes, cette faille n'affecte pas toutes les installations PHP. Elle cible une configuration étroite et peu courante où une application modifie dynamiquement son gestionnaire de sérialisation de session pendant l'exécution. Plus précisément, le risque existe lorsque l'application définit l'option session.serialize_handler sur php_binary ou php_serialize dans sa configuration, puis la bascule sur php en utilisant ini_set() avant d'appeler session_start(), alors que la progression du téléchargement de session reste activée.

L'équipe PHP a classifié ce risque comme improbable en pratique, car la plupart des applications ne changent pas de gestionnaires de sérialisation à la volée. Par conséquent, ils ne publient pas de correctif d'urgence. Au lieu de cela, la correction sera incluse dans la prochaine version de correction de bugs routinière. L'avis indique explicitement que définir session.upload_progress.enabled=0 neutralise la menace. C'est la même mesure d'atténuation recommandée pour la précédente vulnérabilité PHP2Shell, ce qui signifie que les administrateurs ayant déjà appliqué ce changement sont également protégés contre ce nouveau problème.

Cette nouvelle vulnérabilité est distincte des deux failles critiques corrigées le 21 octobre, connues sous les noms de CVE-2026-109618 et CVE-2026-109619. Ces failles antérieures permettaient à des attaquants non authentifiés d'exécuter du code sur les serveurs et ont été adressées dans les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le problème actuel, CVE-2026-115560, n'est pas résolu par ces mises à jour. Aucun exploit ciblant cette nouvelle vulnérabilité n'a été signalé jusqu'à présent.

Détails clés

• ID de la vulnérabilité : CVE-2026-115560 affecte les installations PHP avec des configurations de sérialisation de session dynamique spécifiques.
• Atténuation : Définissez session.upload_progress.enabled=0 dans votre configuration PHP jusqu'à la sortie d'une correction routine.
• Portée : Le risque est limité aux applications qui modifient session.serialize_handler via ini_set() avant session_start().
• Statut : Aucun correctif d'urgence n'est publié ; la correction arrivera dans la prochaine version de maintenance régulière.
• Correctifs précédents : Les versions d'urgence du 21 octobre pour CVE-2026-109618 et CVE-2026-109619 ne corrigent pas ce nouveau problème.
• Exploitation : Il n'y a aucune tentative signalée d'exploiter CVE-2026-115560, bien que les attaques contre les failles PHP2Shell précédentes continuent de croître rapidement.

Contexte

La progression du téléchargement de session est une fonctionnalité intégrée de PHP qui permet aux applications web de suivre l'état des téléversements de fichiers en temps réel. Elle est activée par défaut dans de nombreuses configurations standard. Bien qu'utile pour l'expérience utilisateur, elle introduit une complexité dans la manière dont les données de session sont gérées. La sérialisation est le processus de conversion des structures de données en un format pouvant être stocké ou transmis. PHP prend en charge différents gestionnaires de sérialisation, tels que php, php_binary et php_serialize. Passer dynamiquement d'un gestionnaire à l'autre pendant une requête peut entraîner des incohérences dans l'interprétation des données de session, créant potentiellement des failles de sécurité si cela n'est pas géré avec soin.

Les récentes vulnérabilités PHP2Shell ont mis en évidence les dangers d'une mauvaise gestion des entrées dans les fonctions principales de PHP. Ces failles permettaient aux attaquants d'injecter du code malveillant via des requêtes apparemment bénignes. La communauté de la sécurité a répondu rapidement, avec des fournisseurs cloud comme Cloudflare signalant des millions de tentatives d'exploitation dans les heures suivant la divulgation. Les attaquants ont tenté d'installer des variantes du botnet Mirai, bien qu'une exploitation fiable se soit avérée difficile. Comprendre la distinction entre ces failles activement exploitées et le problème de configuration nouvellement divulgué, à risque plus faible, est vital pour prioriser les efforts de réponse.

Pourquoi c'est important

Pour les équipes gérant des logiciels auto-hébergés, cet avis renforce l'importance de l'hygiène de configuration plutôt que de simples mises à jour de version. Bien que la mise à jour vers la dernière version de PHP soit critique pour les failles RCE précédentes, elle ne résout pas ce nouveau problème. Les administrateurs doivent examiner activement leurs paramètres php.ini ou leurs configurations au niveau de l'application. Si vous comptez sur la progression du téléchargement de session pour une fonctionnalité légitime, vous devez évaluer si votre application modifie dynamiquement les gestionnaires de sérialisation. Si ce n'est pas le cas, vous pouvez toujours choisir de désactiver la fonctionnalité comme mesure de défense en profondeur, compte tenu de la faible probabilité d'en avoir besoin dans les architectures modernes.

La montée rapide des attaques contre les failles PHP2Shell précédentes démontre à quelle vitesse les bots automatisés scannent les nouvelles vulnérabilités divulguées. Même si CVE-2026-115560 est actuellement considéré comme à faible risque, le schéma des tentatives d'exploitation immédiates suggère que toute faiblesse publiquement divulguée sera sondée. En appliquant dès maintenant le changement de configuration recommandé, vous éliminez un vecteur d'attaque potentiel avant qu'un correctif formel ne soit disponible. Cette approche proactive réduit la fenêtre d'exposition et simplifie la maintenance future, car vous n'aurez pas besoin de précipiter une mise à jour d'urgence lorsque la correction routine sera finalement publiée.

Ce que vous pouvez faire

• Désactiver la progression du téléchargement de session : Ajoutez session.upload_progress.enabled=0 à votre fichier php.ini ou à la configuration de votre application immédiatement.
• Vérifier les mesures d'atténuation existantes : Si vous avez déjà désactivé la progression du téléchargement de session pour atténuer CVE-2026-109619, aucune autre action n'est requise pour ce problème spécifique.
• Vérifier la logique de sérialisation : Examinez le code de votre application pour voir s'il utilise ini_set() pour modifier session.serialize_handler avant session_start().
• Surveiller les mises à jour : Gardez un œil sur la prochaine version de correction de bugs routinière de PHP, qui contiendra la correction permanente pour CVE-2026-115560.
• Auditer les journaux : Continuez à surveiller les journaux du serveur pour toute activité inhabituelle liée à la gestion des sessions ou aux téléversements de fichiers, même si aucun exploit n'est actuellement signalé.
• Mettre à jour les versions de PHP : Assurez-vous d'utiliser PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 pour rester protégé contre les failles critiques PHP2Shell.