എമർജൻസി PHP2Shell അപ്‌ഡേറ്റുകൾക്ക് ദിവസങ്ങൾക്ക് ശേഷം പരിഹരിക്കപ്പെടാത്ത മറ്റൊരു RCE പിഴവ് PHP വെളിപ്പെടുത്തി

നിർണായകമായ PHP2Shell സുരക്ഷാ വീഴ്ചകൾക്കുള്ള എമർജൻസി പാച്ച് റോൾഔട്ടുകൾ സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാർ പൂർത്തിയാക്കിവരുന്നതിനിടയിൽ, PHP ഡെവലപ്‌മെന്റ് ടീം മറ്റൊരു സെക്യൂരിറ്റി അഡ്വൈസറി പുറത്തിറക്കി. പുതുതായി തിരിച്ചറിഞ്ഞ ഒരു remote code execution പിഴവ് നിലവിലെ എഞ്ചിനിൽ പരിഹരിക്കപ്പെടാതെ തുടരുന്നു, ഇത് വെബ് ഇൻഫ്രാസ്ട്രക്ചറിലുടനീളം ഉടനടി കോൺഫിഗറേഷൻ അവലോകനങ്ങൾ നടത്തേണ്ടതിന്റെ ആവശ്യകത ഉണ്ടാക്കുന്നു.

ഇന്ന് October 24, 2026 ആണ്. കഴിഞ്ഞ എഴുപത്തിരണ്ട് മണിക്കൂറുകളായി, October 21-ന് വെളിപ്പെടുത്തിയ രണ്ട് നിർണായക പിഴവുകൾക്ക് പാച്ച് ചെയ്യാനുള്ള തിരക്കിലായിരുന്നു സെക്യൂരിറ്റി ടീമുകൾ. ഇപ്പോൾ, CVE-2026-115560 എന്ന് ട്രാക്ക് ചെയ്യപ്പെടുന്ന ഈ പുതിയ വെളിപ്പെടുത്തൽ, എമർജൻസി അപ്‌ഡേറ്റുകൾ ഉൾക്കൊള്ളാത്ത ഒരു അധിക attack surface കൊണ്ടുവരുന്നു. സെർവറുകളിലോ കണ്ടെയ്‌നറുകളിലോ shared hosting-ലോ നിങ്ങൾ production-ൽ PHP പ്രവർത്തിപ്പിക്കുന്നുണ്ടെങ്കിൽ, ഈ പിഴവ് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് മനസിലാക്കുന്നതും നിർദ്ദേശിച്ച mitigations പ്രയോഗിക്കുന്നതും അത്യന്താപേക്ഷിതമാണ്.

എന്താണ് CVE-2026-115560?

പുതുതായി വെളിപ്പെടുത്തിയ പ്രശ്നത്തിൽ PHP-യുടെ session upload progress സംവിധാനവും സെഷൻ കോൺഫിഗറേഷനിലെ റൺടൈം മാറ്റങ്ങളും ഉൾപ്പെടുന്നു.

ഉപയോക്താക്കൾ ഫയലുകൾ അപ്‌ലോഡ് ചെയ്യുമ്പോൾ, PHP-ക്ക് തത്സമയം ട്രാൻസ്ഫർ പുരോഗതി ട്രാക്ക് ചെയ്യാൻ കഴിയുന്ന ഒരു ഇൻ-ബിൽറ്റ് ഫീച്ചറാണ് session upload progress. ഇത് പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ, ഇൻകമിംഗ് ഫയൽ ട്രാൻസ്ഫറുകൾ PHP ഇന്റർസെപ്റ്റ് ചെയ്യുകയും ആപ്ലിക്കേഷൻ സ്ക്രിപ്റ്റ് എക്സിക്യൂട്ട് ചെയ്യുന്നതിന് മുൻപ് പ്രോഗ്രസ് ഡാറ്റ ഉപയോക്താവിന്റെ സെഷനിലേക്ക് നേരിട്ട് എഴുതുകയും ചെയ്യുന്നു.

സാധാരണ സാഹചര്യങ്ങളിൽ, ഈ ഫീച്ചർ സുരക്ഷിതമായി പ്രവർത്തിക്കുന്നു. എന്നിരുന്നാലും, ഒരു ആപ്ലിക്കേഷൻ അതിന്റെ session serialization handler എക്സിക്യൂഷൻ സമയത്ത് ഡൈനാമിക്കായി മാറ്റുമ്പോഴാണ് ഈ സുരക്ഷാ വീഴ്ച ഉണ്ടാകുന്നത്. സ്റ്റോറേജിനായി അറേകളും ഒബ്‌ജക്റ്റുകളും PHP എങ്ങനെ എൻകോഡ് ചെയ്യുന്നുവെന്നും ഡീകോഡ് ചെയ്യുന്നുവെന്നും ഒരു serialization handler നിർണ്ണയിക്കുന്നു; ഇത് പിന്തുണയ്ക്കുന്ന ഫോർമാറ്റുകൾ: php (ഡിഫോൾട്ട്), php_binary, കൂടാതെ php_serialize.

ഔദ്യോഗിക സുരക്ഷാ അറിയിപ്പ് പ്രകാരം, CVE-2026-115560 സംഭവിക്കാൻ മൂന്ന് നിർദ്ദിഷ്ട സാഹചര്യങ്ങൾ ഒത്തുവരേണ്ടതുണ്ട്:

1. സെർവർ തുടക്കത്തിൽ കോൺഫിഗർ ചെയ്യുന്നത് session.serialize_handler എന്നത് ഒന്നുകിൽ php_binary അല്ലെങ്കിൽ php_serialize.
2. ആപ്ലിക്കേഷൻ ആ ക്രമീകരണം മാറ്റുന്നത് php എന്നതിലേക്ക്, ini_set() ഉപയോഗിച്ച് എക്സിക്യൂഷൻ സമയത്ത്, ഇതിനെ കോൾ ചെയ്യുന്നതിന് മുൻപാണ്: session_start().
3. സെർവറിൽ Session upload progress പ്രവർത്തനക്ഷമമായി തുടരുന്നു.

സ്ക്രിപ്റ്റ് എക്സിക്യൂഷന് മുൻപ് പ്രാരംഭ ഹാൻഡ്‌ലർ ഉപയോഗിച്ച് PHP അപ്‌ലോഡ് ട്രാക്കിംഗ് ഡാറ്റ എഴുതുന്നതിനാൽ, ഡൈനാമിക്കായി ഹാൻഡ്‌ലറുകൾ മാറ്റുന്നത് സെഷൻ തുറക്കുമ്പോൾ ഗുരുതരമായ ഒരു serialization mismatch ഉണ്ടാക്കുന്നു. ഡീസീരിയലൈസ് ചെയ്യുമ്പോൾ മെമ്മറി കേടുപാടുകൾക്കും (memory corruption) റിമോട്ട് കോഡ് എക്സിക്യൂഷനും (remote code execution) കാരണമാകുന്ന തരത്തിൽ തയ്യാറാക്കിയ ഇൻപുട്ട് നൽകാൻ ഇത് ഒരു അക്രമിയെ അനുവദിക്കുന്നു.

മുമ്പത്തെ PHP2Shell സുരക്ഷാ വീഴ്ചകളിൽ നിന്ന് ഇത് എങ്ങനെ വ്യത്യാസപ്പെട്ടിരിക്കുന്നു

CVE-2026-115560 എന്നത് October 21-ന് പുറത്തിറക്കിയ എമർജൻസി അപ്‌ഡേറ്റുകളുടെ പരാജയമല്ല. ആ അപ്‌ഡേറ്റുകൾ പരിഹരിച്ചത് ഒന്നിച്ച് ഇപ്രകാരം വിളിക്കപ്പെടുന്ന രണ്ട് വ്യത്യസ്തവും നിർണായകവുമായ പിഴവുകളെയാണ്: PHP2Shell.

. നിങ്ങളുടെ സിസ്റ്റം എത്രത്തോളം അപകടസാധ്യതയിലാണെന്ന് വിലയിരുത്താൻ, ഈ മൂന്ന് വ്യത്യസ്ത പ്രശ്നങ്ങളെ നിങ്ങൾ വേർതിരിച്ചു മനസ്സിലാക്കണം:

1. CVE-2026-109618: Out-of-Memory Cleanup RCE

റിക്വസ്റ്റ് കൈകാര്യം ചെയ്യുന്നതിനിടയിൽ PHP-യിൽ മെമ്മറി തീർന്നുപോകുമ്പോഴാണ് (memory exhaustion) ഈ സുരക്ഷാ വീഴ്ച സംഭവിക്കുന്നത്. റിക്വസ്റ്റ് ഡാറ്റാ സ്ട്രക്ച്ചറുകൾ ഭാഗികമായി ഇനിഷ്യലൈസ് ചെയ്തിരിക്കുന്ന സമയത്ത് മെമ്മറി തീരുകയാണെങ്കിൽ, വിഭവങ്ങൾ ക്ലീൻ അപ്പ് ചെയ്യുന്നതിനായി PHP എക്സിക്യൂഷൻ തടസ്സപ്പെടുത്തുന്നു. ക്ലീൻ അപ്പ് ചെയ്യുന്ന സമയത്ത് റൺടൈം അസാധുവായ മെമ്മറി സ്റ്റേറ്റുകൾ പ്രോസസ്സ് ചെയ്യുന്നു, ഇത് വെബ് വർക്കർ അക്കൗണ്ടിന് കീഴിൽ റിമോട്ട് കോഡ് എക്സിക്യൂഷൻ നേടാൻ അക്രമികളെ അനുവദിക്കുന്നു (പ്രത്യേകിച്ച് Apache mod_php-ൽ). നിങ്ങളുടെ PHP ബൈനറി അപ്‌ഡേറ്റ് ചെയ്യുക എന്നത് മാത്രമാണ് ഇതിനുള്ള ഏക സമ്പൂർണ്ണ പരിഹാരം.

2. CVE-2026-109619: Stale State and Use-After-Free

PHP-FPM പോലുള്ള സ്ഥിരമായ എൻവയോൺമെന്റുകളിൽ HTTP റിക്വസ്റ്റുകളിലുടനീളം വർക്കർ പ്രോസസ്സ് വീണ്ടും ഉപയോഗിക്കുന്നതിൽ നിന്നാണ് ഈ പ്രശ്നം ഉണ്ടാകുന്നത്. ഒരു വർക്കർ മുമ്പത്തെ ഒരു റിക്വസ്റ്റിൽ നിന്നുള്ള മെമ്മറി സ്വതന്ത്രമാക്കുകയും എന്നാൽ ആന്തരിക പോയിന്ററുകൾ റീസെറ്റ് ചെയ്യുന്നതിൽ പരാജയപ്പെടുകയും ചെയ്യുമ്പോൾ, അതേ വർക്കർ പ്രോസസ്സ് ചെയ്യുന്ന തുടർന്നുള്ള റിക്വസ്റ്റിന് പഴയ മെമ്മറി (stale memory) ആക്സസ് ചെയ്യാൻ കഴിയും. ഇത് ഒരു use-after-free അവസ്ഥയ്ക്ക് കാരണമാകുന്നു. അപ്‌ലോഡ് പ്രോഗ്രസ് ഒരു ട്രിഗർ മെക്കാനിസം മാത്രമായിരുന്നെങ്കിലും, ഈ ബഗ്ഗ് മറ്റ് പല റൺടൈം പാതകളിലേക്കും വ്യാപിക്കുന്നു.

3. CVE-2026-115560: Runtime Handler Deserialization

മുമ്പത്തെ മെമ്മറി കറപ്ഷൻ ബഗ്ഗുകളിൽ നിന്ന് വ്യത്യസ്തമായി, ഈ പിഴവ് നിലനിൽക്കുന്നത് സെഷൻ ഫോർമാറ്റുകളിൽ മാറ്റം വരുത്തുന്ന ആപ്ലിക്കേഷന്റെ ബൂട്ട്‌സ്ട്രാപ്പ് ലോജിക്കിനെ ആശ്രയിച്ചാണ്. ഔദ്യോഗിക പാച്ച് സാധാരണ റിലീസ് സൈക്കിളിൽ മാത്രമേ ലഭ്യമാകൂ എന്നതിനാൽ, തങ്ങളുടെ സിസ്റ്റങ്ങൾ സംരക്ഷിക്കാൻ അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് October 21 ബൈനറികളെ മാത്രം ആശ്രയിക്കാനാവില്ല.

മുൻകാല ചൂഷണത്തിന്റെ തെളിവുകൾ: October 17 മുതലുള്ളവ ഓഡിറ്റ് ചെയ്യുക

CVE-2026-115560 വെളിപ്പെടുത്തുന്നതിന് മുൻപ് അത് ആക്റ്റീവായി ചൂഷണം ചെയ്യപ്പെട്ടതായി രേഖപ്പെടുത്തിയിട്ടില്ലെന്ന് PHP പ്രസ്താവിച്ചെങ്കിലും, മുമ്പത്തെ PHP2Shell സുരക്ഷാ വീഴ്ചകൾ വ്യാപകമായി പരിശോധിക്കപ്പെടുകയും (probed) ലക്ഷ്യമിടുകയും ചെയ്തിരുന്നു.

പരസ്യമായ വെളിപ്പെടുത്തലിനും എമർജൻസി പാച്ചുകൾക്കും നാല് ദിവസം മുമ്പ്, October 17-ന് തന്നെ PHP2Shell-നെ ലക്ഷ്യമിട്ടുള്ള ചൂഷണശ്രമങ്ങൾ തങ്ങളുടെ MadPot ഹണിപോട്ട് നെറ്റ്‌വർക്ക് കണ്ടെത്തിയതായി Amazon ഭീഷണി ഗവേഷകർ റിപ്പോർട്ട് ചെയ്തു. കൊമേഴ്സ്യൽ അനോണിമൈസേഷൻ നെറ്റ്‌വർക്കുകളിൽ നിന്നാണ് ഈ ട്രാഫിക് വന്നത്.

ഈ വിവരങ്ങൾക്ക് ഉടനടി പ്രവർത്തനപരമായ അനന്തരഫലങ്ങളുണ്ട്:

• പാച്ചുകൾ പ്രയോഗിക്കുന്നത് ഭാവിയിലെ ആക്രമണങ്ങളിൽ നിന്ന് സിസ്റ്റങ്ങളെ സംരക്ഷിക്കുന്നു, എന്നാൽ ഒരു നുഴഞ്ഞുകയറ്റം ഇതിനകം നടന്നിട്ടുണ്ടോ എന്ന് അത് വ്യക്തമാക്കിത്തരില്ല.
• ആക്സസ് ലോഗുകൾ, ഫയൽ മാറ്റങ്ങൾ, അല്ലെങ്കിൽ അസാധാരണമായ പ്രോസസ്സ് എക്സിക്യൂഷനുകൾ എന്നിവയുടെ ഏതൊരു ഫോറൻസിക് അവലോകനവും വെളിപ്പെടുത്തൽ തീയതി മുതൽ ആരംഭിക്കുന്നതിന് പകരം കുറഞ്ഞത് October 17, 2026 മുതലുള്ളത് പരിശോധിക്കേണ്ടതാണ്.

ഘട്ടം ഘട്ടമായുള്ള മിറ്റിഗേഷൻ, ഹാർഡനിംഗ് ഗൈഡ്

CVE-2026-115560 നുള്ള ഔദ്യോഗിക എഞ്ചിൻ പാച്ച് ഇപ്പോഴും തയ്യാറായിക്കൊണ്ടിരിക്കുന്നതിനാൽ, October 21 അപ്‌ഡേറ്റുകളുടെ റോൾഔട്ട് പൂർത്തിയാക്കുന്നതിനൊപ്പം അഡ്മിനിസ്ട്രേറ്റർമാർ കോൺഫിഗറേഷൻ മിറ്റിഗേഷനുകൾ ഉടനടി നടപ്പിലാക്കണം.

ഘട്ടം 1: php.ini-ൽ Session Upload Progress പ്രവർത്തനരഹിതമാക്കുക

അപ്‌ലോഡ് പ്രോഗ്രസ് പ്രവർത്തനരഹിതമാക്കുന്നത് സാധാരണ ഫയൽ അപ്‌ലോഡുകളെ തടസ്സപ്പെടുത്താതെ തന്നെ CVE-2026-115560-ന്റെ ആക്രമണ പാതയെ അടയ്ക്കുന്നു. സാധാരണ അപ്‌ലോഡുകൾ സാധാരണപോലെ പ്രവർത്തിക്കുന്നത് തുടരും; PHP-യുടെ ആന്തരിക സെഷൻ ട്രാക്കർ മാത്രമാണ് പ്രവർത്തനരഹിതമാകുന്നത്.

ഈ ഡയറക്റ്റീവ് 0 എന്ന് നിങ്ങളുടെ ആക്ടീവായ php.ini -ലോ FPM പൂൾ കോൺഫിഗറേഷനിലോ ക്രമീകരിക്കുക:

; Disable PHP session upload progress tracking
session.upload_progress.enabled = 0

ആക്ടീവ് കോൺഫിഗറേഷൻ ഫയലുകളിലുടനീളം ഈ ക്രമീകരണം സ്ഥിരീകരിക്കുക:

# Check if session upload progress is enabled
php -i | grep -E "session.upload_progress.enabled"

കമാൻഡ് നൽകുന്ന മറുപടി session.upload_progress.enabled => Off => Offഎന്നാണെങ്കിൽ, മിറ്റിഗേഷൻ സജീവമാണ്.

ഘട്ടം 2: PHP-FPM, വെബ് സെർവർ ഡെമണുകൾ റീസ്റ്റാർട്ട് ചെയ്യുക

വർക്കർ പ്രോസസ്സുകൾ ആരംഭിക്കുമ്പോഴാണ് (spawn) PHP കോൺഫിഗറേഷൻ നിർദ്ദേശങ്ങൾ വായിക്കുന്നത്. അതിനാൽ php.ini എഡിറ്റ് ചെയ്യുന്നത് പ്രവർത്തിച്ചുകൊണ്ടിരിക്കുന്ന വർക്കറുകൾ റീസ്റ്റാർട്ട് ചെയ്യുന്നത് വരെ അവയെ ബാധിക്കില്ല.

നിങ്ങളുടെ PHP പ്രോസസ്സിംഗ് സേവനങ്ങൾ റീസ്റ്റാർട്ട് ചെയ്യുക:

# For systems running PHP-FPM with systemd
sudo systemctl restart php*-fpm

# For systems running Apache with mod_php
sudo systemctl restart apache2 || sudo systemctl restart httpd

# Verify that worker processes refreshed their start times
ps -eo pid,lstart,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grep

ഘട്ടം 3: റൺടൈം ഹാൻഡ്‌ലർ മാറ്റങ്ങൾക്കായി ആപ്ലിക്കേഷൻ കോഡ് ഓഡിറ്റ് ചെയ്യുക

ഈ സുരക്ഷാ വീഴ്ച സംഭവിക്കാൻ, ഒരു ആപ്ലിക്കേഷൻ session.serialize_handler എന്നതിനെ റൺടൈമിൽ ini_set()ഉപയോഗിച്ച് മാറ്റേണ്ടതുണ്ട്. ആപ്ലിക്കേഷൻ കോഡോ ഇൻസ്റ്റാൾ ചെയ്ത വെണ്ടർ ലൈബ്രറികളോ ഈ മാറ്റം വരുത്തുന്നുണ്ടോ എന്ന് പരിശോധിക്കാൻ നിങ്ങളുടെ കോഡ്‌ബേസ് സ്കാൻ ചെയ്യുക:

# Search for runtime serialization handler changes
grep -rn "session.serialize_handler" /var/www/html/ 2>/dev/null

നിങ്ങളുടെ തിരച്ചിലിൽ ini_set('session.serialize_handler', ...)-ന്റെ സന്ദർഭങ്ങളൊന്നും കണ്ടെത്തിയില്ലെങ്കിൽ, നിങ്ങളുടെ ആപ്ലിക്കേഷൻ ഈ ദുർബലമായ റൺടൈം മാറ്റം വരുത്തുന്നില്ല. വെണ്ടർ ലൈബ്രറികൾക്ക് ഒരു പ്രത്യേക ഹാൻഡ്‌ലർ ആവശ്യമാണെങ്കിൽ, അത് php.ini -ൽ സ്റ്റാറ്റിക്കായി കോൺഫിഗർ ചെയ്യുക; ഇതിന് മുൻപായി ഡൈനാമിക്കായി മാറ്റരുത്: session_start().

ഘട്ടം 4: October 17 മുതലുള്ള സിസ്റ്റം, വെബ് ലോഗുകൾ പരിശോധിക്കുക

ഹണിപോട്ട് ഡാറ്റ തിരിച്ചറിഞ്ഞ സീറോ-ഡേ കാലയളവിൽ സിസ്റ്റങ്ങൾ ആക്രമിക്കപ്പെട്ടിട്ടില്ലെന്ന് ഉറപ്പാക്കാൻ, നിങ്ങളുടെ വെബ് ലോഗുകൾ ഓഡിറ്റ് ചെയ്യുക:

# Check web server logs for suspicious session upload parameters
sudo zgrep -E "PHP_SESSION_UPLOAD_PROGRESS|php_serialize" /var/log/nginx/*access.log* /var/log/apache2/*access.log* 2>/dev/null | head -n 30

# Check for unexpected PHP files created since October 17
sudo find /var/www/html/ -type f -newermt "2026-10-17" -name "*.php" -ls

സ്ഥിരീകരിക്കാത്ത PHP സ്ക്രിപ്റ്റുകളോ വെബ് വർക്കർ അക്കൗണ്ടുകൾ ആരംഭിച്ച അപ്രതീക്ഷിത പശ്ചാത്തല പ്രോസസ്സുകളോ (background processes) ഉണ്ടോ എന്ന് പരിശോധിക്കുക.

ഉപസംഹാരം

CVE-2026-115560 ന്റെ വെളിപ്പെടുത്തൽ ഒരു സുപ്രധാന സുരക്ഷാ പാഠത്തെ ഊട്ടിയുറപ്പിക്കുന്നു: സോഫ്റ്റ്‌വെയർ പാച്ചിംഗും കോൺഫിഗറേഷൻ ഹാർഡനിംഗും ഒരുമിച്ച് പ്രവർത്തിക്കണം. PHP2Shell മെമ്മറി ബഗ്ഗുകൾ പരിഹരിക്കുന്നതിന് October 21 ലെ എമർജൻസി പാച്ചുകൾ വിന്യസിക്കുന്നത് ടീമുകൾ പൂർത്തിയാക്കേണ്ടതുണ്ടെങ്കിലും, session upload progress പ്രവർത്തനരഹിതമാക്കുന്നത് ഈ പുതിയ RCE ആക്രമണത്തിനെതിരെ ഉടനടിയുള്ള ഒരു സംരക്ഷണം നൽകുന്നു. അപ്‌സ്ട്രീം ബഗ്ഫിക്സ് റിലീസ് എത്തുന്നതുവരെ നിങ്ങളുടെ വെബ് ഇൻഫ്രാസ്ട്രക്ചർ സുരക്ഷിതമായി നിലനിൽക്കുന്നുവെന്ന് ഉറപ്പാക്കാൻ ഈ രണ്ട് നടപടികളും സ്വീകരിക്കുക.

നേട്ടങ്ങൾ

• റീകമ്പൈൽ ചെയ്ത ബൈനറികൾക്കായി കാത്തിരിക്കാതെ തന്നെ session upload progress പ്രവർത്തനരഹിതമാക്കുന്നത് ഉടനടി സംരക്ഷണം നൽകുന്നു.
• സാധാരണ ഫയൽ അപ്‌ലോഡുകൾ സാധാരണ നിലയിൽ പ്രവർത്തിക്കുന്നത് തുടരുന്നു, ഇത് പ്രധാന ആപ്ലിക്കേഷൻ ഫീച്ചറുകൾ നിലനിർത്തുന്നു.
• ആവശ്യമില്ലാത്ത ഒരു ലെഗസി സെഷൻ ഹുക്ക് ഒഴിവാക്കുന്നതിലൂടെ മൊത്തത്തിലുള്ള attack surface കുറയ്ക്കുന്നു.
• October 17 മുതലുള്ള ലോഗുകൾ ഓഡിറ്റ് ചെയ്യുന്നത് വെളിപ്പെടുത്തലിന് മുമ്പുള്ള പരിശോധനകളും സാധ്യതയുള്ള വെബ് ഷെൽ ഡ്രോപ്പുകളും കണ്ടെത്താൻ സഹായിക്കുന്നു.
• അപകടസാധ്യതയുള്ള റൺടൈം എൻവയോൺമെന്റ് മാറ്റങ്ങളേക്കാൾ സ്റ്റാറ്റിക്, ഡിറ്റർമിനിസ്റ്റിക് സെഷൻ കോൺഫിഗറേഷനെ പ്രോത്സാഹിപ്പിക്കുന്നു.

പോരായ്മകൾ

• അപ്‌ലോഡ് പ്രോഗ്രസ് പ്രവർത്തനരഹിതമാക്കുന്നത്, PHP-യുടെ ആന്തരിക സെഷൻ അറേയെ ആശ്രയിക്കുന്ന കസ്റ്റം UI പ്രോഗ്രസ് ബാറുകളുടെ പ്രവർത്തനത്തെ ബാധിക്കുന്നു.
• വിതരണം ചെയ്യപ്പെട്ട ഒന്നിലധികം സെർവറുകളിലുടനീളം കോൺഫിഗറേഷൻ മാറ്റങ്ങളും ഡെമൺ റീസ്റ്റാർട്ടുകളും ഏകോപിപ്പിക്കേണ്ടതുണ്ട്.
• കോൺഫിഗറേഷൻ മിറ്റിഗേഷനുകൾ അടിസ്ഥാന മെമ്മറി ബഗ്ഗുകൾ പരിഹരിക്കാത്തതിനാൽ, എമർജൻസി അപ്‌ഡേറ്റുകൾ നിർബന്ധമായും ചെയ്യേണ്ടതാണ്.
• അവ്യക്തമാക്കിയ (obfuscated) വെണ്ടർ പാക്കേജുകൾക്കുള്ളിൽ ഡൈനാമിക് ആയ ini_set കോളുകൾ തിരിച്ചറിയുന്നതിന് പ്രത്യേക കോഡ് ഓഡിറ്റുകൾ ആവശ്യമാണ്.

മുന്നറിയിപ്പ്

ഈ ലേഖനം വിദ്യാഭ്യാസപരമായ ആവശ്യങ്ങൾക്ക് മാത്രമുള്ളതാണ്. സിസ്റ്റം കമാൻഡുകൾ, കോൺഫിഗറേഷൻ നിർദ്ദേശങ്ങൾ, ഫയൽ പാതകൾ എന്നിവ നിങ്ങളുടെ നിർദ്ദിഷ്ട Linux distribution, PHP പതിപ്പ്, ഹോസ്റ്റിംഗ് ആർക്കിടെക്ചർ എന്നിവയ്ക്ക് അനുയോജ്യമായ രീതിയിൽ മാറ്റിയെടുക്കേണ്ടതാണ്. പ്രൊഡക്ഷൻ ഇൻഫ്രാസ്ട്രക്ചറിൽ മാറ്റങ്ങൾ വരുത്തുന്നതിന് മുമ്പ് എല്ലായ്പ്പോഴും ഒരു സ്റ്റേജിംഗ് എൻവയോൺമെന്റിൽ കോൺഫിഗറേഷൻ മാറ്റങ്ങൾ പരീക്ഷിക്കുകയും അപ്‌സ്ട്രീം പ്രോജക്റ്റ് മെയിന്റനർമാരുടെ സുരക്ഷാ നിർദ്ദേശങ്ങൾ പരിശോധിക്കുകയും ചെയ്യുക.

പതിവായി ചോദിക്കുന്ന ചോദ്യങ്ങൾ

• എന്താണ് CVE-2026-115560? — session upload progress-ഉം സെഷൻ serialization handler-കളിലെ റൺടൈം മാറ്റങ്ങളും തമ്മിലുള്ള പൊരുത്തക്കേട് കാരണം PHP-യിൽ പുതുതായി വെളിപ്പെടുത്തിയ ഒരു റിമോട്ട് കോഡ് എക്സിക്യൂഷൻ സുരക്ഷാ വീഴ്ചയാണിത്.
• ഏറ്റവും പുതിയ PHP റിലീസുകളിൽ CVE-2026-115560 പരിഹരിച്ചിട്ടുണ്ടോ? — ഇല്ല, നിലവിലെ ബിൽഡുകളിൽ ഈ പിഴവ് പരിഹരിക്കപ്പെടാതെ തുടരുന്നു; തങ്ങളുടെ അടുത്ത പതിവ് റിലീസ് സൈക്കിളിൽ ഇതിനൊരു ഔദ്യോഗിക പരിഹാരം നൽകാനാണ് PHP പ്രോജക്റ്റ് ഉദ്ദേശിക്കുന്നത്.
• അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് ഇപ്പോൾ എങ്ങനെ സെർവറുകൾ സംരക്ഷിക്കാം? — അഡ്മിനിസ്ട്രേറ്റർമാർ session.upload_progress.enabled = 0 എന്ന് തങ്ങളുടെ php.ini ഫയലുകളിൽ സെറ്റ് ചെയ്യുകയും എല്ലാ PHP വർക്കർ സേവനങ്ങളും റീസ്റ്റാർട്ട് ചെയ്യുകയും വേണം.
• അപ്‌ലോഡ് പ്രോഗ്രസ് പ്രവർത്തനരഹിതമാക്കുന്നത് ഉപയോക്താക്കൾ ഫയലുകൾ അപ്‌ലോഡ് ചെയ്യുന്നത് തടയുമോ? — ഇല്ല, HTTP POST വഴിയുള്ള സാധാരണ ഫയൽ അപ്‌ലോഡുകൾ സാധാരണപോലെ പ്രവർത്തിക്കുന്നത് തുടരും; PHP-യുടെ ആന്തരിക തത്സമയ സെഷൻ പ്രോഗ്രസ് ട്രാക്കർ മാത്രമാണ് പ്രവർത്തനരഹിതമാക്കുന്നത്.
• October 21 ലെ എമർജൻസി അപ്‌ഡേറ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്ത സിസ്റ്റങ്ങളെ ഈ പുതിയ പിഴവ് ബാധിക്കുമോ? — അതെ, October 21 അപ്‌ഡേറ്റുകൾ മുൻപത്തെ PHP2Shell മെമ്മറി പിഴവുകൾ പരിഹരിച്ചുവെങ്കിലും, CVE-2026-115560 എന്നത് കോൺഫിഗറേഷൻ മിറ്റിഗേഷൻ ആവശ്യമായ മറ്റൊരു പ്രത്യേക പ്രശ്നമാണ്.
• സെക്യൂരിറ്റി ടീമുകൾ എന്തുകൊണ്ടാണ് October 17 മുതലുള്ള പ്രവർത്തനങ്ങൾ അന്വേഷിക്കുന്നത്? — പരസ്യമായ വെളിപ്പെടുത്തലിന് നാല് ദിവസം മുമ്പ് PHP2Shell-നെ ലക്ഷ്യമിട്ടുള്ള ചൂഷണശ്രമങ്ങൾ Amazon-ന്റെ MadPot നെറ്റ്‌വർക്കിൽ നിന്നുള്ള ത്രെറ്റ് ഇന്റലിജൻസ് നിരീക്ഷിച്ചതിനാലാണ് പരിശോധനാ കാലയളവ് വിപുലീകരിക്കേണ്ടി വന്നത്.
• CVE-2026-115560 ചൂഷണം ചെയ്യാൻ ആവശ്യമായ സാഹചര്യങ്ങൾ എന്തൊക്കെയാണ്? — ആപ്ലിക്കേഷൻ ഒരു നോൺ-സ്റ്റാൻഡേർഡ് സീരിയലൈസേഷൻ ഹാൻഡ്‌ലറോടെ ആരംഭിക്കുകയും, അതിനെ php എന്നതിലേക്ക് ini_set() വഴി ഇതിന് മുൻപായി മാറ്റുകയും വേണം: session_start(), ഒപ്പം session upload progress പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുകയും (enabled) വേണം.

ടാഗുകൾ

#php #cve2026115560 #php2shell #cybersecurity #vulnerability #infosec #sysadmin #devops #websecurity #patchmanagement