CVE-2026-115560 : la nouvelle faille PHP du 23 octobre, êtes-vous concerné ?

Après les deux failles critiques PHP2Shell corrigées en urgence le 21 octobre, la PHP Foundation a publié le 23 octobre 2026 un nouvel avis d'information : CVE-2026-115560. Bonne nouvelle : cette faille est distincte des précédentes, elle ne s'applique que dans un cas précis et aucune exploitation n'a été signalée à ce jour. Voici comment savoir en cinq minutes si vous êtes concerné.

Le contexte : trois failles en une semaine

• 17 octobre : Amazon détecte dans ses honeypots une tentative d'exploitation de PHP2Shell, quatre jours avant la divulgation.
• 21 octobre : publication de versions d'urgence corrigeant CVE-2026-109618 et CVE-2026-109619 (PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35).
• 22 octobre : Cloudflare fait état de plusieurs millions de tentatives d'exploitation.
• 23 octobre : avis de la PHP Foundation sur CVE-2026-115560.

Si vous n'avez pas encore lu notre analyse des premières failles, consultez notre point sur les deux failles critiques avant le correctif du 21 octobre et notre article sur PHP2Shell, Node2Shell et HTTP2Shell.

Que dit l'avis du 23 octobre ?

CVE-2026-115560 touche la gestion des sessions de PHP, plus précisément le suivi de progression des uploads (session.upload_progress) combiné à l'option session.serialize_handler. Elle permet une exécution de code sur le serveur, mais seulement si trois conditions sont réunies :

1. session.serialize_handler est configuré sur php_binary ou php_serialize ;
2. l'application repasse cette option sur php à l'exécution, avec ini_set(), avant d'appeler session_start() ;
3. le suivi de progression des uploads est resté activé.

La PHP Foundation juge ce scénario peu probable. Une application qui ne modifie jamais le gestionnaire de sessions pendant l'exécution n'est pas exposée.

Ce qui n'est pas encore connu

À la date de publication de l'avis, plusieurs informations manquent : les versions de PHP concernées, la version qui contiendra le correctif et le score de gravité. Aucun correctif d'urgence n'est prévu : la correction sera livrée dans la prochaine version de maintenance, accompagnée d'un avis complet. Cet article sera mis à jour lorsque ces détails seront publiés.

Vérifier votre exposition en cinq minutes

1. Contrôler la configuration PHP

php -i | grep -E "session.upload_progress.enabled|session.serialize_handler"

Faites ce contrôle pour chaque environnement : la ligne de commande et PHP-FPM ou Apache peuvent utiliser des fichiers de configuration différents. Pour connaître la valeur réellement appliquée par le serveur web, affichez phpinfo() sur un environnement non public, puis supprimez le fichier.

2. Chercher les appels à ini_set dans le code

grep -rn "session.serialize_handler" --include="*.php" .

Pensez à inclure les dépendances (vendor/) et le code ancien. Si aucun appel à ini_set() ne modifie ce réglage, la condition 2 n'est pas remplie.

Le contournement à appliquer

La PHP Foundation recommande de désactiver le suivi de progression des uploads :

session.upload_progress.enabled = 0

Ce réglage était déjà recommandé le 21 octobre contre CVE-2026-109619. Si vous l'avez appliqué à ce moment-là, vous n'avez rien de plus à faire. Redémarrez PHP-FPM ou votre serveur web pour que la modification soit prise en compte, puis vérifiez la valeur avec la commande ci-dessus.

Gardez ce réglage désactivé jusqu'à la publication de la version corrigée, sauf si votre application utilise réellement la barre de progression d'upload basée sur les sessions.

N'oubliez pas les correctifs PHP2Shell

CVE-2026-115560 ne remplace pas les failles du 21 octobre, qui, elles, sont critiques et activement exploitées. Si ce n'est pas déjà fait, passez sur PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou une version ultérieure de votre branche.

Checklist rapide

• mettre à jour PHP vers une version corrigée contre PHP2Shell ;
• désactiver session.upload_progress.enabled sur tous les environnements ;
• rechercher les appels ini_set('session.serialize_handler', ...) dans le code et les dépendances ;
• surveiller les annonces de la PHP Foundation pour la version qui corrigera CVE-2026-115560 ;
• consulter les journaux du serveur web à la recherche de requêtes inhabituelles depuis le 17 octobre.

Conclusion

CVE-2026-115560 est une faille à surveiller, pas à paniquer : elle exige une combinaison de réglages inhabituelle et aucune exploitation n'est signalée. Une seule ligne de configuration, session.upload_progress.enabled=0, suffit à vous protéger en attendant le correctif. Le vrai chantier reste la mise à jour contre PHP2Shell.

Sources : avis de la PHP Foundation du 23 octobre 2026 relayé par The Hacker News et Cybernews ; mises à jour de Palo Alto Networks (Unit 42) du 23 octobre 2026.