PHP heeft op 23 oktober een korte, informatieve waarschuwing gepubliceerd over een nieuw scenario waarin een aanvaller code zou kunnen uitvoeren op een webserver. Het gaat om CVE-2026-115560, dat niet wordt opgelost via een spoedpatch. In plaats daarvan adviseert het PHP-team één gerichte mitigatie: zet ‘session upload progress’ uit totdat een reguliere bugfix-update verschijnt.
Deze melding komt slechts twee dagen na de emergency fixes voor de kritieke PHP2Shell-kwetsbaarheden CVE-2026-109618 en CVE-2026-109619. Wie die eerdere mitigatie al heeft doorgevoerd, hoeft volgens PHP in de praktijk niets extra’s te doen.
Wat waarschuwt PHP precies (CVE-2026-115560)?
Volgens PHP is de kans op misbruik van CVE-2026-115560 laag, omdat het probleem alleen kan optreden onder een ongewone combinatie van sessie-instellingen. PHP heeft daarom geen emergency fix uitgebracht en behandelt dit als onderdeel van de reguliere releasecyclus.
Het project noemt de exploitkans niet onmogelijk, maar wel zeldzaam genoeg om de oplossing via een tijdelijke configuratie-aanpassing te geven. Zodra de volgende routine release uitkomt, volgt naar verwachting een volledige advisory met details over de getroffen versies en de definitieve fix.
De aanval lukt alleen bij een specifieke sessieconfiguratie
PHP beschrijft meerdere voorwaarden die samen moeten voorkomen. Het gaat om webapplicaties die tijdens runtime bepaalde sessie-instellingen aanpassen op een manier die afwijkt van wat in de praktijk doorgaans wordt gebruikt.
Concreet moet een toepassing:
- in de configuratie session.serialize_handler instellen op php_binary of php_serialize;
- tijdens het draaien van de applicatie die optie vervolgens wijzigen naar php met een aanroep via ini_set();
- deze wijziging uitvoeren vóór de applicatie session_start() aanroept;
- en daarnaast moet session upload progress nog steeds ingeschakeld zijn.
PHP benadrukt dat een applicatie die de serialize handler niet wijzigt terwijl het systeem draait, doorgaans niet in dit pad terechtkomt. Daardoor is de blootstelling beperkt tot een smalle categorie configuraties.
Waarom is de mitigatie zo eenvoudig?
De aanbeveling van PHP is opvallend praktisch: zet ‘session upload progress’ uit. PHP adviseert hiervoor één regel in de configuratie, namelijk:
- session.upload_progress.enabled=0
Deze instelling staat volgens PHP al als mitigatie genoemd in de eerdere advisory voor CVE-2026-109619. Met andere woorden: als je die eerder hebt toegepast en ongewijzigd hebt laten staan, dan hoef je doorgaans niets extra te doen voor CVE-2026-115560.
Wat doet ‘session upload progress’?
Standaard staat session upload progress aan. Met deze functie kan een applicatie de voortgang van een upload volgen. PHP koppelt de waarschuwing aan het feit dat deze functionaliteit in combinatie met de specifieke sessiehandler-wijzigingen tot het problematische gedrag kan leiden.
Let op: dit is een beveiligingsmaatregel, dus je schakelt bewust een feature uit. Als je die voortgangsinformatie gebruikt in je toepassing, check dan vooraf hoe je dit tijdelijk opvangt, zodat je gebruikerservaring niet onnodig verslechtert.
Welke PHP-versies zijn getroffen?
In de waarschuwing noemt PHP geen exacte lijst met getroffen versies, evenmin welke toekomstige release de definitieve fix zal bevatten. Ook ontbreekt een severity score in deze informatieve advisory.
PHP geeft wel aan dat de volgende stap hoort bij de reguliere releasecyclus. In die publicatie komt naar verwachting ook een volledige beschrijving rond CVE-2026-115560, inclusief de noodzakelijke details voor patchmanagement.
Daarnaast zegt PHP niet met zekerheid of dit probleem dezelfde onderliggende oorzaak deelt met CVE-2026-109619. Het is dus mogelijk dat het technisch verwant is, maar dat is (nog) niet bevestigd.
Wordt CVE-2026-115560 al misbruikt?
PHP meldt dat er geen exploit is gerapporteerd voor CVE-2026-115560. De activiteit die sinds 21 oktober in het nieuws kwam, richtte zich namelijk op de eerder gepatchte PHP2Shell-kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619.
Dat is belangrijk voor prioritering: hoewel je CVE-2026-115560 serieus moet nemen, is de huidige dreiging vooral gekoppeld aan de twee oudere kwetsbaarheden waarvoor al spoedfixes zijn uitgebracht.
Ondertussen groeit de exploitactiviteit rond PHP2Shell
Los van CVE-2026-115560 melden meerdere partijen dat pogingen om de twee eerder gepatchte PHP2Shell-lekken te misbruiken zijn toegenomen.
Volgens informatie die in de advisory werd aangehaald:
- Amazon gaf aan dat honeypots op 17 oktober al een poging logden richting CVE-2026-109618 en CVE-2026-109619, dus vier dagen vóór de bekendmaking.
- Cloudflare rapporteerde dat het aantal pogingen na de publicatie op 21 oktober snel opliep: van tienduizenden binnen 45 minuten tot miljoenen tegen het begin van 22 oktober.
- Sophos en Arctic Wolf melden dat aanvallers probeerden om varianten te installeren die lijken op een Mirai-achtige botnet aanpak, al zonder bevestigde code-uitvoering in de bekende casussen.
Previdian, Wordfence en anderen duiden daarnaast op scannen en probing zonder hard bewijs dat het tot betrouwbare code execution leidt. Onderzoekers geven aan dat het bouwen van een stabiele exploit lastiger blijkt dan aanvankelijk verwacht.
Belangrijk: dit activityoverzicht gaat specifiek over de twee lekken die op 21 oktober zijn gepatcht, niet over CVE-2026-115560. Die laatste is dus in deze fase niet zichtbaar als een actief doelwit.
Wat moet je nu doen?
Als je webapplicaties draait op PHP, pak dan de volgende stappen meteen praktisch op.
1) Zet session upload progress uit
Volg het advies van PHP en stel session.upload_progress.enabled=0 in. Dit is de directe mitigatie tegen de (zeldzame) omstandigheden rond PHP RCE sessie upload.
2) Controleer of je eerder al de PHP2Shell-mitigatie toepaste
Omdat PHP aangeeft dat de setting eerder ook als mitigatie is genoemd, kan het zijn dat je systeem al beschermd is tegen dit specifieke nieuwe scenario. Controleer daarom of je de relevante configuratie ongewijzigd hebt laten staan.
3) Blijf patchmanagement voor PHP2Shell volgen
De eerdere emergency fixes zijn uitgebracht in meerdere PHP-reeksen (PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35). Zorg dat je omgeving daadwerkelijk op die niveaus draait of dat je de voorgeschreven mitigaties toepast wanneer patchen nog loopt.
Meer context over de eerdere PHP2Shell-situatie vind je ook terug in onze dekking, bijvoorbeeld over hoe aanvallen zich ontwikkelden en waarom patchen snel moet.
Bekijk ook: PHP2Shell: bedrijven reageren en patchen nu en PHP2Shell: dagen vóór patches al misbruikpogingen.
Conclusie: beperkte scope, maar wél actie
CVE-2026-115560 is geen ‘typische’ PHP-kwetsbaarheid die breed in alle omgevingen speelt. Het probleem vereist een specifieke, ongebruikelijke sessieconfiguratie plus het feit dat session upload progress actief blijft. Juist daarom behandelt PHP het niet als emergency patch.
Toch is het verstandig om nu in te grijpen: zet session.upload_progress.enabled=0 uit en check of je eerdere PHP2Shell-mitigaties al correct stonden. Daarmee verklein je de kans op PHP RCE sessie upload in afwachting van de volgende routine release met een definitieve fix.
Bron: https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html
