Artikel diterbitkan pada 23 Oktober 2026. CVE-2026-115560 berpotensi memungkinkan eksekusi kode jarak jauh (RCE) pada konfigurasi aplikasi PHP tertentu; tingkat keparahan dan skor CVSS belum diumumkan. Dua kerentanan PHP2Shell sebelumnya, CVE-2026-109618 dan CVE-2026-109619, berkategori kritis dan telah ditambal.

Risiko muncul ketika session upload progress aktif, konfigurasi awal session.serialize_handler menggunakan php_binary atau php_serialize, lalu aplikasi mengubahnya menjadi php melalui ini_set() sebelum memanggil session_start(). Kondisi ini berpotensi memungkinkan penyerang menjalankan kode pada server; belum ada laporan eksploitasi.

Server web yang menjalankan aplikasi PHP. Versi terdampak CVE-2026-115560 belum diumumkan; pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 belum memperbaikinya. Keempat versi tersebut baru menambal CVE-2026-109618 dan CVE-2026-109619.

1. Atur session.upload_progress.enabled=0 hingga perbaikan CVE-2026-115560 tersedia.
2. Hindari perubahan session.serialize_handler saat aplikasi berjalan, khususnya pola perubahan sebelum session_start() yang dijelaskan di atas.
3. Pantau rilis perbaikan rutin PHP berikutnya untuk patch CVE-2026-115560; versi perbaikannya belum diumumkan.