PHP: уязвимость в сессиях — что делать, пока нет патча

Лента принесла материал о новой уязвимости в PHP — CVE-2026-115560. Речь о редком сценарии, когда из-за нестандартной настройки сессий и загрузки файлов может произойти удалённое выполнение кода. Пока нет патча, но вендор уже дал временные меры.

Прочитал у PHP, что вышла предупреждение по CVE-2026-115560: при определённой комбинации настроек — когда session.serialize_handler переключается с php_binary или php_serialize на php через ini_set() до вызова session_start() и включён session.upload_progress — возможен удалённый код. Уязвимость не для всех, но если у вас в коде есть такие куски — рискуете. Пока нет патча, но рекомендуют отключить upload progress в php.ini и перезапустить воркеры.

Считаю, что это не про «все сайты на PHP», но важно: если у клиента есть кастомные настройки сессий, особенно с динамическим переключением, это требует проверки. Надо не просто «посмотреть», а найти именно этот путь в коде — иначе не закрыть. А вот «все PHP-приложения в опасности» — это переусердствование.

У себя уже начал проверять конфиги и код у клиентов, где есть кастомные сессии. В план на неделю поставил проверку всех проектов с нестандартными настройками. Если найду — отключу upload progress и перезапущу воркеры. Пока не обновляю, потому что патч ещё не вышел — но меры по уменьшению риска уже включены.