PHP: непатченная RCE CVE-2026-115560 при смене обработчика сериализации

Проект PHP предупредил об уязвимости CVE-2026-115560: при переключении session.serialize_handler с php_binary или php_serialize на php через ini_set() до session_start() и включённом upload progress возможен удалённый запуск кода. Патча пока нет, рекомендовано отключить session.upload_progress.enabled.

• Уязвимость требует редкой конфигурации: смена обработчика сериализации в рантайме
• Патча нет, полный технический отчёт выйдет в следующем релизе PHP
• Временная мера — session.upload_progress.enabled=0 в php.ini или настройках FPM-пула
• Успешная эксплуатация даёт выполнение кода с правами процесса PHP