Makers van PHP raden alsnog mitigatie aan voor minder gevaarlijke potentiële bug

In dit artikel:

De PHP-ontwikkelaars waarschuwen dat een potentiële remote-code-executionkwetsbaarheid ondanks de recente patches in uitzonderlijke situaties nog misbruikt kan worden. Daarom adviseren zij beheerders om de instelling `session.upload_progress.enabled=0` uit te schakelen, een maatregel die eerder al werd genoemd bij CVE-2026-109619. Exploitatie vereist een zeldzame combinatie van specifieke serverinstellingen en applicatiecode, waarbij de serialize-handler niet tijdens runtime wordt gewijzigd. Omdat zo’n configuratie volgens PHP weinig voorkomt, volgt de structurele oplossing pas in een reguliere toekomstige release. Het probleem hangt samen met een van de twee bugs die eerder deze week tot preventieve sluiting van veel websites en diensten leidden.