CVE-2026-115560: третья ошибка PHP, которую патч 21 октября не закрыл

После двух критических ошибок 21 октября легко решить, что «PHP обновлён, тема закрыта». 23 октября проект описал третью, CVE-2026-115560. Отдельного внепланового релиза под неё не было. CERT-EU в тот же день написал, что она касается необычной конфигурации и не получила срочной сборки. Это не повод её игнорировать, если настройка у вас как раз включена. Это повод не паниковать, если вы её никогда не трогали.

Простыми словами

В PHP есть функция, которая пишет в сессию, насколько далеко зашла загрузка файла. На обычном сайте с формой «прикрепить резюме» она чаще всего выключена, и тогда этой ошибки у вас нет. Если её когда-то включили ради полоски прогресса и забыли, интерпретатор снова можно заставить выполнить код до приложения. Вход не нужен. Патч от 21 октября эту ветку не трогает.

Что говорит сам PHP

Пока нет следующего обычного bugfix-релиза, проект рекомендует выставить session.upload_progress.enabled в 0 и перезапустить воркеры. Та же настройка попутно убирает один из подтверждённых входов в CVE-2026-109619, поэтому её имеет смысл держать выключенной и после обновления. Это не замена патчу двух первых ошибок. Сайт на 8.1 без бэкпорта по-прежнему надо убирать с внешнего доступа.

WAF может отсечь часть запросов, которые дергают эту функцию. Это временно. Правило не знает, включена ли настройка у вас на сервере, и не заменяет строку в php.ini. Если вы не уверены, включена ли она, это один конкретный вопрос хостеру или одна строка в конфиге, а не «полный аудит всего».

Что сделать на этой неделе

• Проверить session.upload_progress.enabled. Если On или не задано там, где значение по умолчанию вас не устраивает, поставить 0 и перезапустить PHP.
• Не считать октябрьский релиз полным закрытием темы PHP. Две ошибки он закрывает, третью - нет.
• На общем хостинге попросить поддержку прислать значение настройки и версию PHP, а не скриншот «у нас всё обновлено».