Une nouvelle faille de PHP attend son correctif, mais un seul réglage vous en protège

Deux jours seulement après les correctifs d'urgence de PHP2Shell, l'équipe de sécurité de PHP a publié un nouvel avis le vendredi 23 octobre. Il porte sur une autre faille, enregistrée sous le numéro CVE-2026-115560, qui pourrait permettre d'exécuter du code à distance sur un serveur. Cette fois, aucune version corrigée n'est disponible. Elle arrivera avec la prochaine version de maintenance, sans date annoncée.

La bonne nouvelle tient en une ligne de configuration. PHP recommande de désactiver la fonction de suivi de la progression des envois de fichiers (session.upload_progress.enabled=0) jusqu'à la prochaine version. Selon l'avis, ce réglage protège entièrement contre ce qu'il décrit comme un vecteur d'exécution de code « peu probable ».

Une faille qui demande un montage peu courant

Pour être exposée, une application doit réunir plusieurs conditions à la fois. Sa configuration doit choisir le format de stockage des sessions php_binary ou php_serialize. Le code doit ensuite revenir au format php pendant l'exécution, avec ini_set(), avant d'appeler session_start(). Enfin, le suivi de la progression des envois doit être actif, ce qui est le cas par défaut.

L'équipe de PHP juge ce montage « peu probable en pratique ». C'est pour cela qu'elle traite la faille dans le cycle normal des versions, et non en urgence. Les applications qui ne changent jamais de format de session pendant l'exécution peuvent, selon elle, laisser la fonction activée. L'article de BleepingComputer qui relaie l'avis ne signale aucune exploitation de cette faille.

Ceux qui ont suivi les consignes du 21 octobre n'ont rien à faire

Ce réglage n'est pas nouveau. Il figurait déjà parmi les contournements de l'avis publié le 21 octobre pour CVE-2026-109619, l'une des deux failles de la série PHP2Shell dont les détails avaient fuité avant leur correction. PHP le dit clairement : si vous l'avez appliqué à ce moment-là, gardez-le, et aucune autre action n'est nécessaire.

Pour PHP2Shell, les versions corrigées sont sorties le 21 octobre : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ces mises à jour restent la priorité, puisque des tentatives d'exploitation ont été observées. Elles avaient même poussé l'État à couper les sites des préfectures.

Que faire ?

La procédure est courte, et pourtant beaucoup de serveurs PHP restent sans doute dans leur réglage par défaut.

• Installez d'abord les versions du 21 octobre si ce n'est pas encore fait.
• Désactivez le suivi de la progression des envois en ajoutant session.upload_progress.enabled = 0 au fichier php.ini, à la configuration du pool PHP-FPM ou à celle du serveur web. Il faut un réglage lu avant le traitement de la requête : l'avis du 21 octobre précise que ini_set() et les fichiers .user.ini ne conviennent pas.
• Vérifiez le code de vos applications. Cherchez un appel à ini_set('session.serialize_handler', ...) placé avant session_start(). S'il n'y en a pas, vous n'êtes pas dans le cas décrit.
• Testez vos formulaires d'envoi de fichiers après le changement : une barre de progression qui s'appuierait sur cette fonction pourrait ne plus s'afficher.

PHP publiera un avis complet sur CVE-2026-115560 avec la prochaine version. Il faudra alors vérifier les versions concernées et appliquer le correctif. Le parc à protéger est immense : VirusTotal, cité par BleepingComputer, recense plus de 5,1 millions de serveurs PHP joignables depuis Internet.