PHP2Shell, scoperta la terza falla (inedita): nessuna patch, ma è pericolosa solo in specifiche configurazioni (aggiornato: 24 ottobre 2026, ore 09:51)

Terzo giro per la famiglia di vulnerabilità PHP2Shell. Ma, questa volta, niente "allarme rosso". Ieri, 23 ottobre 2026, PHP ha pubblicato un avviso informativo relativo a CVE-2026-115560. Si tratta di un problema legato al monitoraggio dell'avanzamento degli upload nelle sessioni, che apre un'ulteriore strada verso l'esecuzione di codice da remoto. La correzione, però, non arriverà con un rilascio d'emergenza, ma sarà invece inclusa nella prossima release ordinaria di PHP. Il motivo è presto detto: il difetto è sfruttabile solo se il sistema è configurato in modo particolare

Tre condizioni, tutte insieme: perché niente patch immediata

La scelta di PHP Foundation di posticipare il rilascio della patch dipende dai prerequisiti necessari per lo sfruttamento, che sono piuttosto stretti. Perché la falla diventi utilizzabile devono verificarsi contemporaneamente tre condizioni:

• nella configurazione, il parametro session.serialize_handler deve essere impostato su php_binary oppure su php_serialize
• l'applicazione deve cambiare il gestore in php a runtime, tramite ini_set(), prima di chiamare session_start()
• il monitoraggio dell'avanzamento degli upload di sessione deve essere rimasto attivo

Si tratta di una combinazione molto improbabile di configurazione e codice applicativo. È abbastanza rara, a giudizio della Fondazione, da poter essere gestita nel normale ciclo di rilascio.

Il contrasto con il primo atto della vicenda è netto. Il rilascio d'emergenza delle due falle originali era accompagnato da un avvertimento senza giri di parole: non esistevano mitigazioni complete e aggiornare era l'unica scelta sicura.

» Leggi anche: Allarme rosso per PHP: due vulnerabilità critiche consentono l'hack immediato di qualsiasi sito (PHP2Shell)

L'avviso del 23 ottobre descrive invece un vettore circoscritto, che si neutralizza con una sola riga di configurazione. Non è insomma un seguito della stessa portata della coppia iniziale.

Mancano comunque diversi dettagli. Non sono state indicate le versioni di PHP coinvolte né un punteggio CVSS. Non si conoscono nemmeno il numero di versione e la data della release ordinaria che conterrà la correzione. Un avviso completo dovrebbe arrivare insieme al prossimo rilascio di bugfix.

Cosa fare adesso: una riga nel php.ini

La mitigazione indicata consiste nel disattivare il monitoraggio degli upload di sessione fino alla prossima release correttiva:

session.upload_progress.enabled=0

Il dettaglio importante riguarda il punto in cui inserire l'impostazione. Va scritta nel php.ini oppure nella configurazione del pool di PHP-FPM, in modo che sia attiva prima del parsing della richiesta. Impostarla dall'applicazione, a richiesta già in corso, non serve allo scopo.

Chi ha già applicato questa modifica durante il rilascio d'emergenza di PHP2Shell è coperto e non deve fare altro. Se invece il tuo codice non cambia mai il gestore di serializzazione a runtime, puoi lasciare la funzione attiva senza problemi.

In pratica conviene cercare nella codebase le chiamate a ini_set() che toccano session.serialize_handler. Se non ce ne sono, il rischio è trascurabile. Se invece ci sono, la riga qui sopra è la strada più rapida.

Fonti: theregister.com, thehackernews.com