Scoperto un terzo bug PHP2Shell, ma non ci sarà una patch d’emergenza
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
La PHP Foundation ha riservato CVE-2026-115560 e raccomanda di disattivare session.upload_progress fino al prossimo rilascio regolare.
PHP Foundation ha riservato l’identificativo CVE-2026-115560 a un terzo difetto di esecuzione di codice legato a PHP2Shell. Niente aggiornamento fuori banda: advisory completo e correzione arriveranno con il prossimo rilascio regolare di PHP1.
Il problema è emerso mentre restano aperti i primi due casi sotto l’etichetta PHP2Shell. Il nuovo difetto può consentire a un attaccante di prendere il controllo di siti o di eseguire da remoto malware su sistemi vulnerabili. La Foundation lo colloca esplicitamente accanto ai due precedenti e ribadisce che non prevede un rilascio straordinario1.
Elizabeth Barron, direttrice esecutiva di PHP Foundation, ha spiegato che l’exploit richiede una combinazione molto improbabile: una specifica configurazione unita a codice applicativo PHP con caratteristiche precise. Secondo la sua valutazione, questo scenario è raro nell’uso pratico. Una impostazione di configurazione consente di mitigare il rischio. Per ora il team di sicurezza ha pubblicato solo un advisory informativo sul sito di PHP che descrive il quadro e le azioni consigliate1.
Indicazione principale: disattivare il tracciamento dei progressi di upload delle sessioni. Il testo suggerisce di impostare session.upload_progress.enabled=0 fino al prossimo bugfix regolare. Questa modifica blocca completamente un vettore di RCE considerato improbabile, ed è ritenuta sufficiente in attesa della correzione nel ciclo standard di rilascio1.
Decisione confermata anche sul piano del calendario. La Foundation prevede di diffondere i dettagli tecnici completi e il software correttivo con la prossima release ordinaria, che includerà l’advisory formale su CVE-2026-115560. La scelta vale solo per questo terzo difetto, definito come complemento ai primi due casi già catalogati sotto PHP2Shell1.
Il senso dell’intervento, per ora, resta operativo e prudente. Da un lato, esiste un ulteriore percorso verso l’esecuzione di codice da remoto. Dall’altro, la combinazione di condizioni necessarie per sfruttarlo viene giudicata molto poco probabile. Su questa base, niente patch d’emergenza, ma una mitigazione semplice e reversibile in configurazione, e dettagli completi rinviati alla finestra di rilascio successiva1.
Nel frattempo, l’advisory informativo, pubblicato venerdì, invita amministratori e sviluppatori a impostare subito la protezione indicata e a seguire gli aggiornamenti ufficiali. Il riferimento a CVE-2026-115560 incastra il nuovo bug nel perimetro di PHP2Shell già noto, semplificando il tracciamento dei rischi e la pianificazione degli aggiornamenti in vista della prossima release1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 8,5/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,0/10 dopo 1 revisione.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.