PHP ha segnalato un ulteriore possibile vettore di esecuzione remota di codice legato a CVE-2026-115560, che secondo NCSC-NL non è risolto dai fix del 21 ottobre.

Il caso richiede upload progress abilitato e un'insolita sequenza di configurazione: handler di serializzazione php_binary o php_serialize, poi modificato in php tramite ini_set prima di session_start.

PHP considera il caso improbabile e raccomanda temporaneamente session.upload_progress.enabled=0, in attesa dell'advisory completo previsto nel normale ciclo.

Ubuntu ha pubblicato il 10 settembre 2026 l advisory USN-8743-1 per tre vulnerabilita nei pacchetti PHP.

L advisory interessa applicazioni PHP che usano le estensioni o i percorsi di parsing indicati e richiede una verifica delle versioni installate per release Ubuntu.

Aggiornare PHP dai repository Ubuntu, verificare PostgreSQL, bccomp e phar negli ambienti applicativi e rieseguire i test dopo la manutenzione.