В PHP выявлена уязвимость CVE-2026-115560, допускающая RCE в редких конфигурациях
Разработчики PHP сообщили о новой уязвимости CVE-2026-115560, которая при определённом сочетании нестандартных настроек и выполняемого кода может позволить удалённо выполнить код на сервере. Уязвимость не затрагивает конфигурацию по умолчанию, однако владельцам нестандартных инсталляций стоит przygotowaćся к обновлению. Технические подробности обещают раскрыть после выхода корректирующих релизов.
Подробности
Согласно сообщению, эксплуатация CVE-2026-115560 возможна только при нетипичной комбинации параметров конфигурации, отклоняющейся от стандартных настроек PHP, в сочетании с выполняемым на сервере кодом. Таким образом, риск затрагивает прежде всего инсталляции с кастомизированной или нестандартной конфигурацией, а не массовые развёртывания. На текущий момент разработчики не раскрывают технические детали уязвимости: полную информацию, включая условия эксплуатации и механизм атаки, планируется опубликовать после подготовки очередных корректирующих выпусков PHP. Точный перечень затронутых версий и продуктов на момент публикации также не приводится — он, как ожидается, будет уточнён вместе с исправлениями. Данных о фактах эксплуатации уязвимости в исходном сообщении нет.Что делать
В первую очередь рекомендуется оценить, используется ли в вашей инфраструктуре нестандартная конфигурация PHP, отклоняющаяся от значений по умолчанию: именно такие инсталляции попадают в зону потенциального риска. Следует взять на заметку идентификатор CVE-2026-115560 и отслеживать публикацию корректирующих выпусков PHP — после их выхода необходимо как можно оперативнее провести обновление. До публикации патчей и технических подробностей имеет смысл пересмотреть нестандартные настройки PHP-окружения и убедиться, что в них нет избыточных или необоснованных параметров, расширяющих поверхность атаки. Также стоит помнить о базовых мерах защиты: изоляция окружений, минимизация привилегий сервисных учётных записей и контроль выполняемого на сервере кода снижают потенциальный ущерб в случае эксплуатации подобных уязвимостей. Организациям, чувствительным к рискам RCE, целесообразно заранее спланировать окно для установки обновлений сразу после их анонса. Отдельно стоит отметить, что это уже не первое предупреждение о подобной уязвимости в PHP за последнее время, что подчёркивает важность регулярного отслеживания security-релизов и инвентаризации нестандартных конфигураций в парке серверов. В целом ситуация требует внимания, но не паники: уязвимость затрагивает редкие конфигурации, а ключевая задача для администраторов — своевременно установить корректирующие выпуски, как только они станут доступны.Источник: opennet