Патч PHP2Shell не закрывает session-poisoning LFI до RCE

Обновления PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12 устраняют повреждение памяти при OOM и устаревшее состояние воркеров (CVE-2026-109618 и CVE-2026-109619), но на пропатченных хостах session.upload_progress.enabled по умолчанию остаётся включённым. Это превращает отложенный LFI в неаутентифицированный RCE за два запроса; CISA внесла обе уязвимости в KEV с дедлайном 29 октября.

• CVE-2026-109618 и CVE-2026-109619 затрагивают PHP с 5.4 по 8.5
• Исправления вышли в 8.2.35, 8.3.36, 8.4.27 и 8.5.12
• session.upload_progress.enabled=1 по умолчанию даёт запись файла сессии
• CISA добавила обе CVE в KEV с дедлайном 29 октября