CVE-2026-115560 : Nouveau risque RCE PHP non corrigé nécessitant une atténuation immédiate

PHP a divulgué CVE-2026-115560, un nouveau risque d’exécution de code à distance affectant les applications web qui utilisent une combinaison inhabituelle de configuration de session PHP et de comportement à l’exécution. Le problème a été divulgué le 23 octobre 2026, seulement deux jours après que PHP ait publié des correctifs d’urgence pour les vulnérabilités critiques PHP2Shell CVE-2026-109618 et CVE-2026-109619.

Contrairement à ces vulnérabilités antérieures, CVE-2026-115560 n’a pas déclenché une autre publication d’urgence de PHP. L’équipe de sécurité PHP considère que la configuration vulnérable est improbable dans les déploiements typiques et prévoit de résoudre le défaut lors de son prochain cycle de corrections de bogues régulier. D’ici là, il est conseillé aux administrateurs de désactiver la fonctionnalité de progression de téléchargement de session PHP là où la configuration vulnérable peut exister.

La nouvelle vulnérabilité est également importante car installer PHP 8.5.12, 8.4.27, 8.3.36, ou 8.2.35—les versions qui ont corrigé les deux premières failles PHP2Shell—ne not remédie pas à CVE-2026-115560. Les systèmes entièrement mis à jour peuvent donc rester exposés si leurs applications sont conformes aux prérequis spécifiques de configuration.

Les équipes de sécurité recherchant des opportunités de détection de CVE-2026-115560 devraient privilégier la visibilité sur la gestion des sessions PHP, les téléchargements multipartites inhabituels, les changements inattendus du comportement de sérialisation de session, et les processus fils suspects engendrés par PHP ou les travailleurs de serveur web.

La plateforme d’intelligence de détection native AI de SOC Prime permet aux équipes de sécurité de renforcer la couverture contre l’exploitation de vulnérabilités émergentes et les comportements associés post-compromissions sur les environnements SIEM, EDR et Data Lake.

Cliquez Explorez les Détections pour accéder au contenu de détection pertinent et à la logique de recherche. Pour détecter CVE-2026-115560, les défenseurs devraient combiner une évaluation de configuration PHP avec la télémétrie web, de point d’extrémité, d’application et de proxy inversé tant qu’un correctif du fournisseur n’est pas disponible.

Les praticiens de la sécurité peuvent également exploiter Prime Architect pour transformer les renseignements sur les vulnérabilités récemment divulguées en règles Sigma et requêtes de recherche, valider la logique de détection, et traduire les détections pertinentes sur les plates-formes de sécurité prises en charge.

Contactez les Ventes

Analyse de CVE-2026-115560

PHP a publié un avis informatif le 23 octobre décrivant une interaction potentiellement exploitable entre la sérialisation de session et la fonctionnalité de progression de téléchargement de session.

Selon l’équipe de sécurité PHP, une application doit satisfaire plusieurs conditions spécifiques avant que le problème ne survienne :

• session.serialize_handler doit être initialisé en php_binary ou php_serialize.
• Le code de l’application doit ensuite changer le gestionnaire en php à l’exécution en utilisant ini_set().
• Ce changement doit se produire avant que session_start() ne soit appelé.
• session.upload_progress.enabled doit rester activé.

Les applications qui ne changent jamais le gestionnaire de sérialisation à l’exécution ne sont pas exposées par ce chemin spécifique et peuvent continuer à utiliser la progression de téléchargement de session. PHP décrit la combinaison vulnérable comme peu commune.

Cette distinction réduit sensiblement la surface d’attaque par rapport à CVE-2026-109618 et CVE-2026-109619. Les vulnérabilités PHP2Shell antérieures affectaient largement les installations PHP servant du web et nécessitaient des mises à jour d’urgence. CVE-2026-115560 dépend plutôt de la configuration spécifique de l’application et du comportement du code.

Les détails de CVE-2026-115560 restent intentionnellement limités. PHP n’a pas encore publié la cause technique complète, les plages de versions vulnérables exactes, un score CVSS, ou la transition spécifique de l’état de mémoire interne ou de session qui produit finalement la condition RCE. Le fournisseur dit que ces détails seront inclus dans la prochaine version régulière.

Sur la base des prérequis divulgués, la vulnérabilité semble liée à une manipulation incohérente des données de session lorsqu’une application change de format de sérialisation pendant le traitement des demandes tandis que le mécanisme de progression de téléchargement de PHP est actif. Cependant, le primitif d’exploitation exact ne doit pas être déduit au-delà de ce que PHP a formellement divulgué.

CVE-2026-115560 affecte les applications correspondant au modèle de configuration vulnérable, y compris les applications exécutant des versions PHP entièrement corrigées contenant les correctifs PHP2Shell du 21 octobre. PHP n’a pas encore indiqué quelles branches PHP ou versions historiques contiennent la faille sous-jacente.

Cela signifie que les administrateurs ne devraient pas déterminer l’exposition uniquement à partir de la version PHP installée. Au lieu de cela, ils doivent évaluer la configuration de l’application et du serveur.

Une première étape utile consiste à vérifier si la progression de téléchargement de session est activée :

session.upload_progress.enabled=1

Les administrateurs devraient également identifier tout code d’application appelant ini_set() pour modifier session.serialize_handler, en particulier des transitions de php_binary ou php_serialize à php.

La nouvelle faille est distincte de CVE-2026-109619 même si l’atténuation se chevauche. Désactiver la progression de téléchargement de session était déjà recommandé comme mesure de réduction des risques pour l’une des vulnérabilités originales PHP2Shell. Les organisations qui ont gardé ce paramètre désactivé après la mise à jour d’urgence du 21 octobre sont déjà protégées contre le chemin récemment divulgué, selon PHP.

Il n’existe actuellement aucun PoC public pour CVE-2026-115560 documenté par PHP ou les deux rapports fournis. L’équipe de sécurité n’a pas non plus divulgué suffisamment d’informations techniques pour reproduire la vulnérabilité de manière fiable à partir de l’avis public uniquement.

Cela est particulièrement différent des défauts PHP2Shell antérieurs, pour lesquels diverses tentatives de preuve de concept et d’activité d’exploitation ont émergé autour de la divulgation. Ces attaques ne devraient pas être attribuées à la nouvelle vulnérabilité.

Aucune exploitation de CVE-2026-115560 n’a été signalée au 26 octobre 2026. The Hacker News distingue spécifiquement les tentatives de balayage et d’exploitation en cours de PHP2Shell de cette nouvelle vulnérabilité, notant que l’activité observée cible CVE-2026-109618 et CVE-2026-109619.

En conséquence, les IOCs CVE-2026-115560 tels que les adresses IP malveillantes, domaines, hachages, charges utiles, ou modèles de demande d’exploit confirmés ne sont actuellement pas disponibles.

Jusqu’à l’émergence de détails techniques supplémentaires, les défenseurs devraient se concentrer sur les indicateurs comportementaux et basés sur la configuration, y compris :

• Applications PHP changeant session.serialize_handler pendant l’exécution
• Progression de téléchargement de session restant activée sur les applications avec une logique de session personnalisée
• Trafic POST multipartite inattendu vers les applications gérant des sessions PHP
• PHP-FPM, php-cgi, Apache, ou d’autres processus desservants PHP engendrant des shells ou des interpréteurs de scripts
• Connexions réseau sortantes inattendues depuis les travailleurs PHP
• Fichiers nouvellement créés à l’intérieur des racines web ou des répertoires d’applications inscriptibles
• Changements inhabituels aux fichiers de session ou au stockage de session
• Web shells, tâches planifiées, ou persistance non autorisée créée par des comptes de service PHP

Les développeurs d’applications devraient également revoir la logique de gestion des sessions personnalisées. Les extensions de cadre, les applications héritées, les plateformes internes ou les systèmes d’authentification personnalisés sont plus susceptibles que les déploiements PHP simples de modifier les paramètres de sérialisation dynamiquement.

La divulgation se produit lors d’une période déjà active d’activité d’exploitation PHP. Les vulnérabilités PHP2Shell originales ont été corrigées le 21 octobre, et plusieurs sociétés de sécurité ont ensuite observé de nombreuses tentatives de sonde et d’exploitation. Toutefois, PHP et les chercheurs en sécurité n’ont pas lié ces campagnes à CVE-2026-115560.

Atténuation de CVE-2026-115560

PHP recommande actuellement une mesure défensive directe :

session.upload_progress.enabled=0

Les administrateurs devraient appliquer le paramètre via php.ini, la configuration du pool PHP-FPM, la configuration Apache, ou un autre mécanisme de niveau serveur qui prend effet avant le traitement des demandes.

Les organisations qui ont désactivé la fonctionnalité tout en atténuant CVE-2026-109619 et l’ont laissée désactivée n’ont pas besoin d’un changement de configuration supplémentaire pour cette vulnérabilité.

Après avoir modifié le paramètre, redémarrez les processus PHP et services web pertinents pour s’assurer que les processus existants chargent la configuration mise à jour. Selon l’environnement, cela peut inclure le redémarrage des pools PHP-FPM, des travailleurs Apache, des conteneurs, ou d’autres processus d’exécution d’applications PHP.

Les administrateurs peuvent vérifier le paramètre effectif par l’inspection de la configuration PHP plutôt que de supposer qu’une valeur centrale php.ini s’applique partout. Les déploiements PHP combinent fréquemment les paramètres de :

• php.ini global
• fichiers conf.d
• configuration du pool PHP-FPM
• directives Apache
• configuration spécifique aux conteneurs
• .user.ini au niveau de l’application
• appels à l’exécution de ini_set()

L’évaluation d’exposition la plus importante est spécifique à l’application. Recherchez dans le code source de l’application une modification au moment de l’exécution du sérialiseur de session, en particulier les modèles impliquant :

ini_set(‘session.serialize_handler’, ‘php’)

Les applications qui ne changent jamais le sérialiseur de php_binary ou php_serialize à php avant session_start() ne correspondent pas au scénario vulnérable divulgué par PHP.

Les organisations devraient néanmoins maintenir les mises à jour de sécurité PHP2Shell du 21 octobre. La désactivation de la progression de téléchargement aborde le chemin nouvellement identifié mais ne remplace pas les correctifs d’urgence pour CVE-2026-109618 et CVE-2026-109619.

Les installations prises en charge devraient donc rester au minimum :

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Ces versions corrigent les problèmes de PHP2Shell antérieurs mais pas la nouvelle vulnérabilité divulguée.

Les équipes de sécurité devraient également inventorier les installations PHP non prises en charge. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour de sécurité régulières en amont, ce qui signifie que les organisations exploitant des environnements hérités peuvent avoir des difficultés à déterminer l’exposition complète une fois l’avis CVE final publié.

Si désactiver la progression de téléchargement de session est opérationnellement impossible, les organisations devraient d’abord déterminer si leurs applications modifient réellement le gestionnaire de sérialisation dynamiquement. PHP déclare explicitement que les applications qui n’effectuent jamais ce changement à l’exécution peuvent laisser la progression de téléchargement de session activée.

Comme précautions supplémentaires, les défenseurs peuvent :

• Limiter l’accès externe aux applications PHP sensibles.
• Appliquer des règles de proxy inversé restrictives autour des points de terminaison de téléchargement de fichiers non essentiels.
• Surveiller les requêtes multipartites associées aux sessions PHP.
• Alerte sur les processus enfants PHP travaillant anormalement.
• Appliquer le principe du moindre privilège aux comptes PHP-FPM et de serveur web.
• Empêcher les services PHP d’écrire dans les répertoires exécutables dans la mesure du possible.
• Restreindre la connectivité sortante des charges de travail des applications web.
• Surveiller les racines web et les répertoires temporaires pour des créations de fichiers non autorisées.

AWS a également noté que ses règles WAF d’application PHP peuvent bloquer les requêtes POST combinant des identificateurs de session PHP avec le champ PHP_SESSION_UPLOAD_PROGRESS, fournissant une autre couche défensive pour les environnements qui ne peuvent pas immédiatement effectuer des modifications de configuration. Ce type de filtrage devrait encore être considéré comme une défense en profondeur plutôt qu’un remplacement pour le changement de configuration recommandé par PHP.

Une fois que PHP publie la mise à jour de correction régulière contenant le correctif permanent, les organisations devraient la déployer rapidement, même si l’atténuation temporaire est déjà activée.

Après avoir appliqué les correctifs, les administrateurs peuvent décider si la progression de téléchargement de session doit être réactivée en fonction des besoins de l’application.

Si une exploitation est suspectée, isolez le serveur d’application affecté et préservez la télémétrie web, PHP, proxy inversé, de point d’extrémité, et réseau. Examinez les répertoires inscriptibles pour les web shells ou des fichiers nouvellement créés, inspectez les processus enfants PHP, et identifiez les identifiants ou secrets accessibles au service compromis.

Étant donné qu’une exploitation réussie pourrait potentiellement entraîner une exécution de code avec les privilèges du travailleur PHP, les intervenants devraient faire tourner les identifiants d’application pertinents, les secrets de base de données, les jetons API, les clés de cloud, et d’autres informations sensibles si le compromis ne peut pas être exclu.

Avertissement : Le contenu de détection peut ne pas être disponible pour chaque CVE. Vérifiez la plateforme SOC Prime pour la couverture actuelle. Si les détections pertinentes ne sont pas encore disponibles, vérifiez à nouveau car de nouvelles informations sur les menaces et du contenu de détection sont continuellement ajoutés.