CVE-2026-115560, PHP: la presunta RCE riguarda solo configurazioni di sessione inconsuete
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
L'advisory php.net parla di un avviso informativo e chiede la stessa mitigazione già suggerita: disabilitare session.upload_progress fino al prossimo bugfix.
PHP ha pubblicato il 23 ottobre su php.net un advisory su CVE-2026-115560. L’exploit è possibile solo con una combinazione di impostazioni di sessione che il team definisce “unlikely in practice”. La misura indicata resta una: disattivare session.upload_progress.enabled fino al prossimo bugfix regolare1.
L’avviso è informativo, non straordinario. Nessuna patch fuori banda. Il processo di rilascio non cambia. Il problema esiste, ma tocca configurazioni particolari. Chi ha già applicato la mitigazione può mantenerla e non fare altro1.
Il nodo tecnico è la raggiungibilità. La vulnerabilità si attiva solo se convergono specifiche opzioni di sessione. PHP qualifica questa combinazione come improbabile nella pratica. Per ridurre il rischio a zero basta una modifica: impostare session.upload_progress.enabled=0 e lasciarla così fino al rilascio correttivo di routine1.
Nel frattempo è girato un messaggio allarmistico. Parla di “BREAKING”, di una “RCE non patchata” a ridosso di interventi urgenti, e invoca una nuova mitigazione immediata. Una nota pubblicata su dev.to contesta quella lettura: l’advisory è di carattere informativo, segue il percorso regolare, descrive uno scenario raggiungibile solo con configurazioni di sessione inconsuete, e non introduce misure inedite rispetto a quelle già comunicate1.
Per chi amministra server PHP l’azione è diretta:
- verificare il valore di session.upload_progress.enabled;
- impostarlo a 0 se non lo è già;
- mantenere l’impostazione fino al prossimo bugfix regolare1.
La stessa nota su dev.to propone una checklist operativa in tre comandi per capire se l’ambiente è esposto. L’approccio è semplice: controlli puntuali, attenzione alle parole dell’advisory, evitare riassunti imprecisi. Chi segue questi passaggi vede se il caso lo riguarda e, in generale, come valutare futuri avvisi senza farsi guidare dai titoli1.
Fonti primarie:
- advisory su php.net1 (https://www.php.net/);
- analisi su dev.to1 (https://dev.to/).
L’episodio mostra un punto ricorrente nella gestione delle vulnerabilità: distinguere tra rischio teorico e rischio operativo. La differenza sta spesso in una riga di configurazione e nella lettura attenta della fonte originale1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,1/10 dopo 1 revisione.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.