Στη λίστα oss-security δημοσιεύτηκε στις 23 Οκτωβρίου νέα ευπάθεια της PHP, με αναγνωριστικό CVE-2026-115560, που σχετίζεται με τον μηχανισμό σειριοποίησης των συνεδριών. Το πρόβλημα αφορά μόνο εφαρμογές που αλλάζουν τη ρύθμιση session.serialize_handler, κάτι που δεν είναι η προεπιλογή. Οι έκτακτες εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35 της 21ης Οκτωβρίου δεν το διορθώνουν. Ως προσωρινό μέτρο προτείνεται η απενεργοποίηση του session.upload_progress.enabled μέχρι να κυκλοφορήσει διόρθωση.

Τι σημαίνει: Μετά τις έκτακτες ενημερώσεις της προηγούμενης εβδομάδας, πολλοί διαχειριστές μπορεί να θεωρούν ότι η PHP είναι πλέον ασφαλής. Το νέο κενό δείχνει ότι δεν είναι έτσι για όλες τις εγκαταστάσεις, αν και ο κίνδυνος είναι περιορισμένος, αφού αφορά μόνο όσους έχουν αλλάξει τον τρόπο σειριοποίησης των συνεδριών. Για ελληνικά e-shops, CMS και εφαρμογές που τρέχουν σε PHP, το πρώτο βήμα είναι απλός έλεγχος: αναζήτηση στη ρύθμιση php.ini, στις ρυθμίσεις του web server και στον κώδικα της εφαρμογής για τυχόν αλλαγή του session.serialize_handler. Αν δεν υπάρχει αλλαγή, η εγκατάσταση δεν επηρεάζεται από το συγκεκριμένο κενό. Αν υπάρχει, η απενεργοποίηση του session.upload_progress.enabled είναι γρήγορο μέτρο, αλλά πρέπει πρώτα να ελεγχθεί ότι καμία λειτουργία της εφαρμογής, όπως οι μπάρες προόδου στη μεταφόρτωση αρχείων, δεν βασίζεται σε αυτό. Στις κοινόχρηστες φιλοξενίες, η ρύθμιση συνήθως ελέγχεται από τον πάροχο, οπότε αξίζει ένα μήνυμα στην υποστήριξη. Σε κάθε περίπτωση, η ενημέρωση στις εκδόσεις της 21ης Οκτωβρίου παραμένει απαραίτητη για τα δύο κρίσιμα κενά εκείνης της ημέρας. Οι διαχειριστές πρέπει επίσης να παρακολουθούν τις ανακοινώσεις της PHP για τη νέα διόρθωση και να προγραμματίσουν ακόμη μία ενημέρωση.

Διαβάστε το πρωτότυπο στο oss-security (Openwall)

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις