Cosa è successo
PHP ha segnalato un ulteriore possibile vettore di esecuzione remota di codice legato a CVE-2026-115560, che secondo NCSC-NL non è risolto dai fix del 21 ottobre.
Perché conta
Il caso richiede upload progress abilitato e un'insolita sequenza di configurazione: handler di serializzazione php_binary o php_serialize, poi modificato in php tramite ini_set prima di session_start.
Cosa succede ora
PHP considera il caso improbabile e raccomanda temporaneamente session.upload_progress.enabled=0, in attesa dell'advisory completo previsto nel normale ciclo.