C
月内に
PHP基金会は、PHP2Shell脆弱性の修正後、新たにリモートコード実行（RCE）の脆弱性（CVE-2026-115560）が存在することを警告しました
📌 一言でいうと
PHP基金会は、PHP2Shell脆弱性の修正後、新たにリモートコード実行（RCE）の脆弱性（CVE-2026-115560）が存在することを警告しました。この脆弱性は、特定の不自然な設定（session.serialize_handlerの変更とセッションアップロード進捗機能の有効化）が組み合わさった場合にのみ発生します。影響は限定的であるため、PHP基金会は次回の定期リリースで修正を適用する予定です。暫定的な回避策として、session.upload_progress.enabledを0に設定することが推奨されています。
🔍該当判定
- 自社でPHPを利用したWebサイトやシステムを運用している
- PHPの設定ファイル(php.ini)で 'session.upload_progress.enabled' が有効(1)になっている
- PHPの設定で 'session.serialize_handler' に 'php_binary' または 'php_serialize' を指定して利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
暫定的な回避策として、php.ini または実行環境にて 'session.upload_progress.enabled = 0' に設定することを推奨します。また、次回のPHP公式アップデートを適用してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】PHP リモートコード実行脆弱性 (CVE-2026-115560) 対応について
お疲れさまです。PHPにおける新たな脆弱性に関する情報共有です。
■ 概要
PHPにおいて、特定の条件下でリモートコード実行（RCE）が可能な脆弱性 CVE-2026-115560 が報告されました。PHP2Shell（CVE-2026-109618/109619）に関連する一連の脆弱性として観測されています。
■ 影響範囲
- 対象製品: PHP
- 条件: session.serialize_handler が php_binary または php_serialize に設定されており、かつ session_start() 前に ini_set() で PHP に切り替えられ、かつ session.upload_progress が有効な場合。
■ 対応手順
1. 設定ファイル (php.ini) または環境設定にて、以下の設定を無効化してください。
session.upload_progress.enabled = 0
2. 次回のPHP公式バージョンアップデートがリリースされ次第、適用してください。
■ 参考情報
- PHP基金会 公式公告
対応優先度: 中（設定条件が極めて限定的なため）
対応期限: 次回アップデート適用まで
お疲れさまです。PHPにおける新たな脆弱性に関する情報共有です。
■ 概要
PHPにおいて、特定の条件下でリモートコード実行（RCE）が可能な脆弱性 CVE-2026-115560 が報告されました。PHP2Shell（CVE-2026-109618/109619）に関連する一連の脆弱性として観測されています。
■ 影響範囲
- 対象製品: PHP
- 条件: session.serialize_handler が php_binary または php_serialize に設定されており、かつ session_start() 前に ini_set() で PHP に切り替えられ、かつ session.upload_progress が有効な場合。
■ 対応手順
1. 設定ファイル (php.ini) または環境設定にて、以下の設定を無効化してください。
session.upload_progress.enabled = 0
2. 次回のPHP公式バージョンアップデートがリリースされ次第、適用してください。
■ 参考情報
- PHP基金会 公式公告
対応優先度: 中（設定条件が極めて限定的なため）
対応期限: 次回アップデート適用まで
Subject: [Security Advisory] PHP Remote Code Execution Vulnerability (CVE-2026-115560)
Dear IT Administration Team,
We are sharing information regarding a newly disclosed vulnerability in PHP.
■ Overview
A Remote Code Execution (RCE) vulnerability, CVE-2026-115560, has been identified. This is observed as part of the same group of vulnerabilities as PHP2Shell (CVE-2026-109618/109619).
■ Scope
- Product: PHP
- Condition: Triggered only when session.serialize_handler is set to php_binary or php_serialize, switched to PHP via ini_set() before session_start(), and session upload progress is enabled.
■ Mitigation Steps
1. Disable the session upload progress feature in php.ini or your environment:
session.upload_progress.enabled = 0
2. Apply the official PHP security patch once the next regular version is released.
■ Reference
- PHP Foundation Official Announcement
Priority: Medium (due to rare configuration requirements)
Deadline: Until the next official update is applied
Dear IT Administration Team,
We are sharing information regarding a newly disclosed vulnerability in PHP.
■ Overview
A Remote Code Execution (RCE) vulnerability, CVE-2026-115560, has been identified. This is observed as part of the same group of vulnerabilities as PHP2Shell (CVE-2026-109618/109619).
■ Scope
- Product: PHP
- Condition: Triggered only when session.serialize_handler is set to php_binary or php_serialize, switched to PHP via ini_set() before session_start(), and session upload progress is enabled.
■ Mitigation Steps
1. Disable the session upload progress feature in php.ini or your environment:
session.upload_progress.enabled = 0
2. Apply the official PHP security patch once the next regular version is released.
■ Reference
- PHP Foundation Official Announcement
Priority: Medium (due to rare configuration requirements)
Deadline: Until the next official update is applied