PHP : KISA publie un correctif temporaire pour CVE-2026-115560
L'agence coréenne recommande de désactiver la fonction de progression des téléversements dans php.ini, en attendant un correctif officiel de The PHP Group.
La Korea Internet & Security Agency (KISA) a publié le 24 octobre 2026 une recommandation de mesures temporaires d'urgence face à la vulnérabilité d'exécution de code à distance CVE-2026-115560 affectant PHP, selon bloter.net. Aucun correctif officiel n'est encore disponible.
La faille réside dans la manière dont PHP gère les sessions : elle permet à un attaquant d'exécuter des commandes ou des programmes arbitraires sur un serveur. Seuls les serveurs qui modifient à l'exécution le mode de stockage des données de session et activent la fonction de progression des téléversements de fichiers sont concernés.
KISA conseille aux administrateurs de passer la directive session.upload_progress.enabled à 0 dans php.ini ou dans la configuration PHP-FPM, puis de redémarrer les processus worker de PHP.
Un correctif attendu lors de la prochaine mise à jour
The PHP Group n'a pas précisé quelles versions sont touchées ni lesquelles sont corrigées. L'organisation prévoit un correctif officiel dans le cadre de sa prochaine mise à jour régulière.
Le 23 octobre 2026, The PHP Group avait annoncé un plan de réponse temporaire pour CVE-2026-115560. Le même contournement figurait déjà dans les mesures publiées le 21 octobre 2026 pour une autre vulnérabilité, CVE-2026-109619 : les serveurs qui avaient alors désactivé la fonction n'ont donc aucune action supplémentaire à effectuer.
En bref
Quels serveurs sont concernés par CVE-2026-115560 ?
Uniquement ceux qui modifient à l'exécution le mode de stockage des données de session et activent la fonction de progression des téléversements de fichiers.
Comment appliquer la mesure temporaire recommandée par KISA ?
Il faut passer session.upload_progress.enabled à 0 dans php.ini ou la configuration PHP-FPM, puis redémarrer les processus worker de PHP.
Un correctif officiel est-il disponible ?
Non. The PHP Group prévoit un correctif dans le cadre de sa prochaine mise à jour régulière.