ଜରୁରୀକାଳୀନ PHP2Shell ଅପଡେଟ୍‌ର କିଛି ଦିନ ପରେ PHP ଆଉ ଏକ ଅନପ୍ୟାଚ୍‌ଡ RCE ତ୍ରୁଟି ପ୍ରକାଶ କରିଛି

ସିଷ୍ଟମ ଆଡମିନିଷ୍ଟ୍ରେଟରମାନେ ଗୁରୁତର PHP2Shell ଦୁର୍ବଳତାଗୁଡ଼ିକ ପାଇଁ ଜରୁରୀକାଳୀନ ପ୍ୟାଚ୍ ରୋଲ୍‌ଆଉଟ୍ ସମାପ୍ତ କରୁଥିବା ବେଳେ, PHP ଡେଭଲପମେଣ୍ଟ ଟିମ୍ ଆଉ ଏକ ସୁରକ୍ଷା ପରାମର୍ଶ (security advisory) ଜାରି କରିଛି। ବର୍ତ୍ତମାନର ଇଞ୍ଜିନରେ ନୂତନ ଭାବରେ ଚିହ୍ନଟ ହୋଇଥିବା ଏକ remote code execution ତ୍ରୁଟି ଅନପ୍ୟାଚ୍‌ଡ ରହିଛି, ଯାହା ୱେବ୍ ଭିତ୍ତିଭୂମି ସାରା ତୁରନ୍ତ configuration review ଆବଶ୍ୟକ କରେ।

ଆଜି ଅକ୍ଟୋବର ୨୪, ୨୦୨୬। ବିଗତ ବାସ୍ତରି ଘଣ୍ଟା ମଧ୍ୟରେ, ସୁରକ୍ଷା ଟିମ୍‌ଗୁଡ଼ିକ ଅକ୍ଟୋବର ୨୧ ରେ ପ୍ରକାଶ ପାଇଥିବା ଦୁଇଟି ଗୁରୁତର ତ୍ରୁଟିକୁ ପ୍ୟାଚ୍ କରିବା ପାଇଁ ଲାଗିପଡ଼ିଥିଲେ। ବର୍ତ୍ତମାନ, CVE-2026-115560 ଭାବରେ ଟ୍ରାକ୍ କରାଯାଇଥିବା ଏହି ନୂତନ ଖୁଲାସା ଏକ ଅତିରିକ୍ତ attack surface ସୃଷ୍ଟି କରୁଛି ଯାହାକୁ ଜରୁରୀକାଳୀନ ଅପଡେଟ୍‌ଗୁଡ଼ିକ ଅନ୍ତର୍ଭୁକ୍ତ କରିନଥିଲା। ଯଦି ଆପଣ ସର୍ଭର, କଣ୍ଟେନର, କିମ୍ବା shared hosting ରେ ପ୍ରଡକ୍ସନରେ PHP ଚଲାଉଛନ୍ତି, ତେବେ ଏହି ତ୍ରୁଟି କିପରି କାମ କରେ ତାହା ବୁଝିବା ଏବଂ ପରାମର୍ଶିତ mitigation ଗୁଡ଼ିକୁ ପ୍ରୟୋଗ କରିବା ଅତ୍ୟନ୍ତ ଜରୁରୀ।

CVE-2026-115560 କ’ଣ?

ନୂତନ ଭାବରେ ପ୍ରକାଶିତ ଏହି ସମସ୍ୟାଟି PHP ର session upload progress ମେକାନିଜିମ୍ ଏବଂ session configuration ରେ runtime ପରିବର୍ତ୍ତନ ସହିତ ଜଡ଼ିତ।

ଯେତେବେଳେ ଉପଭୋକ୍ତାମାନେ ଫାଇଲ୍ ଅପଲୋଡ୍ କରନ୍ତି, PHP ଏକ ବିଲ୍ଟ-ଇନ୍ ଫିଚର ମାଧ୍ୟମରେ ରିଅଲ୍ ଟାଇମରେ ଟ୍ରାନ୍ସଫର ପ୍ରଗତି ଟ୍ରାକ୍ କରିପାରେ, ଯାହାକୁ କୁହାଯାଏ session upload progress। ସକ୍ଷମ ଥିବା ସମୟରେ, PHP ଆସୁଥିବା ଫାଇଲ୍ ଟ୍ରାନ୍ସଫରକୁ ଇଣ୍ଟରସେପ୍ଟ କରେ ଏବଂ ଆପ୍ଲିକେସନ୍ ସ୍କ୍ରିପ୍ଟ କାର୍ଯ୍ୟକାରୀ ହେବା ପୂର୍ବରୁ ୟୁଜରଙ୍କ session ରେ ସିଧାସଳଖ progress ଡାଟା ଲେଖିଥାଏ।

ସାଧାରଣ ପରିସ୍ଥିତିରେ, ଏହି ଫିଚର ସୁରକ୍ଷିତ ଭାବରେ କାମ କରେ। ତଥାପି, ଦୁର୍ବଳତା ସେତେବେଳେ ସାମ୍ନାକୁ ଆସେ ଯେତେବେଳେ ଏକ ଆପ୍ଲିକେସନ୍ ଏହାର session serialization handler ଏକ୍ସିକ୍ୟୁସନ୍ ସମୟରେ dynamically ପରିବର୍ତ୍ତନ କରେ। ଏକ serialization handler ନିର୍ଣ୍ଣୟ କରେ ଯେ PHP ଷ୍ଟୋରେଜ୍ ପାଇଁ arrays ଏବଂ objects କୁ କିପରି encode ଏବଂ decode କରେ, ଯାହାକି ଫର୍ମାଟଗୁଡ଼ିକୁ ସମର୍ଥନ କରେ ଯେପରିକି php (ଡିଫଲ୍ଟ), php_binary, ଏବଂ php_serialize.

ଅଫିସିଆଲ୍ ସୁରକ୍ଷା ବିଜ୍ଞପ୍ତି ଅନୁଯାୟୀ, CVE-2026-115560 ପାଇଁ ତିନୋଟି ନିର୍ଦ୍ଦିଷ୍ଟ ସର୍ତ୍ତ ଏକାସାଙ୍ଗରେ ଘଟିବା ଆବଶ୍ୟକ:

1. ସର୍ଭର ପ୍ରାରମ୍ଭରେ କନଫିଗର୍ କରେ session.serialize_handler କୁ ଏଥିମଧ୍ୟରୁ ଯେକୌଣସି ଭାବରେ php_binary କିମ୍ବା php_serialize.
2. ଆପ୍ଲିକେସନ୍ ସେହି ସେଟିଂକୁ ବଦଳାଇ କରେ php ବ୍ୟବହାର କରି ini_set() ଏକ୍ସିକ୍ୟୁସନ୍ ସମୟରେ, କଲ୍ କରିବା ପୂର୍ବରୁ session_start().
3. ସର୍ଭରରେ Session upload progress ସକ୍ଷମ ରହିଥାଏ।

ଯେହେତୁ PHP ସ୍କ୍ରିପ୍ଟ ଏକ୍ସିକ୍ୟୁସନ୍ ପୂର୍ବରୁ ପ୍ରାରମ୍ଭିକ handler ବ୍ୟବହାର କରି upload tracking ଡାଟା ଲେଖିଥାଏ, ତେଣୁ session ଖୋଲିବା ସମୟରେ dynamically handlers ବଦଳାଇବା ଦ୍ୱାରା ଏକ ଗୁରୁତର serialization mismatch ସୃଷ୍ଟି ହୁଏ। ଏହା ଜଣେ ଆକ୍ରମଣକାରୀକୁ ଏପରି ପ୍ରସ୍ତୁତ ଇନପୁଟ୍ ପ୍ରଦାନ କରିବାକୁ ଅନୁମତି ଦିଏ ଯାହା deserialized ହେବା ସମୟରେ memory corruption ଏବଂ remote code execution କୁ ଟ୍ରିଗର କରିଥାଏ।

ଏହା ପୂର୍ବର PHP2Shell ଦୁର୍ବଳତାଠାରୁ କିପରି ଭିନ୍ନ

CVE-2026-115560 ଅକ୍ଟୋବର ୨୧ ରେ ଜାରି କରାଯାଇଥିବା ଜରୁରୀକାଳୀନ ଅପଡେଟ୍‌ଗୁଡ଼ିକର ବିଫଳତା ନୁହେଁ। ସେହି ଅପଡେଟ୍‌ଗୁଡ଼ିକ ଦୁଇଟି ପୃଥକ, ଗୁରୁତର ତ୍ରୁଟିର ସମାଧାନ କରିଥିଲା ଯାହାକୁ ମିଳିତ ଭାବରେ ନାମିତ କରାଯାଇଥିଲା PHP2Shell.

ଆପଣଙ୍କର ଏକ୍ସପୋଜର ମୂଲ୍ୟାଙ୍କନ କରିବାକୁ, ଆପଣଙ୍କୁ ଏହି ତିନୋଟି ପୃଥକ ସମସ୍ୟା ମଧ୍ୟରେ ପାର୍ଥକ୍ୟ ବୁଝିବାକୁ ହେବ:

1. CVE-2026-109618: Out-of-Memory Cleanup RCE

ଏହି ଦୁର୍ବଳତା ସେତେବେଳେ ଘଟେ ଯେତେବେଳେ request handling ସମୟରେ PHP memory exhaustion ର ସମ୍ମୁଖୀନ ହୁଏ। ଯଦି ରିକ୍ୱେଷ୍ଟ ଡାଟା ଷ୍ଟ୍ରକଚରଗୁଡ଼ିକ ଆଂଶିକ ଭାବରେ initialize ହୋଇଥିବା ବେଳେ ମେମୋରୀ ସରିଯାଏ, PHP ରିସୋର୍ସଗୁଡ଼ିକୁ କ୍ଲିନ୍ ଅପ୍ କରିବା ପାଇଁ ଏକ୍ସିକ୍ୟୁସନ୍ ବନ୍ଦ କରିଦିଏ। କ୍ଲିନଅପ୍ ସମୟରେ, ରନଟାଇମ୍ ଅବୈଧ ମେମୋରୀ ସ୍ଥିତିଗୁଡ଼ିକୁ ପ୍ରୋସେସ୍ କରେ, ଯାହା ଆକ୍ରମଣକାରୀମାନଙ୍କୁ web worker ଆକାଉଣ୍ଟ ଅଧୀନରେ remote code execution ହାସଲ କରିବାକୁ ଅନୁମତି ଦିଏ (ବିଶେଷ କରି Apache mod_php)। ଆପଣଙ୍କର PHP binary ଅପଡେଟ୍ କରିବା ହିଁ ଏକମାତ୍ର ସମ୍ପୂର୍ଣ୍ଣ ସମାଧାନ।

2. CVE-2026-109619: Stale State and Use-After-Free

ଏହି ସମସ୍ୟାଟି PHP-FPM ଭଳି persistent ପରିବେଶରେ HTTP ରିକ୍ୱେଷ୍ଟଗୁଡ଼ିକରେ worker process ର ପୁନଃବ୍ୟବହାରରୁ ଉତ୍ପନ୍ନ ହୁଏ। ଯେତେବେଳେ ଜଣେ worker ଏକ ପୂର୍ବ ରିକ୍ୱେଷ୍ଟରୁ ମେମୋରୀ ମୁକ୍ତ କରେ କିନ୍ତୁ ଆଭ୍ୟନ୍ତରୀଣ ପଏଣ୍ଟରଗୁଡ଼ିକୁ ରିସେଟ୍ କରିବାରେ ବିଫଳ ହୁଏ, ସେହି ସମାନ worker ଦ୍ୱାରା ପ୍ରୋସେସ୍ ହୋଇଥିବା ପରବର୍ତ୍ତୀ ରିକ୍ୱେଷ୍ଟ ପୁରୁଣା ମେମୋରୀକୁ ଆକ୍ସେସ୍ କରିପାରେ। ଏହା ଏକ use-after-free ପରିସ୍ଥିତି ସୃଷ୍ଟି କରେ। ଯଦିଓ upload progress ଏକ ଟ୍ରିଗର ମେକାନିଜିମ୍ ଥିଲା, ତଥାପି ଅନ୍ତର୍ନିହିତ ବଗ୍ ଅନେକ ରନଟାଇମ୍ ପାଥ୍ ମଧ୍ୟରେ ବିସ୍ତାରିତ ହୋଇଛି।

3. CVE-2026-115560: Runtime Handler Deserialization

ପୂର୍ବର memory corruption ବଗ୍‌ଗୁଡ଼ିକ ପରି ନୁହେଁ, ଏହି ତ୍ରୁଟିଟି ମଝିରେ session ଫର୍ମାଟ୍ ବଦଳାଉଥିବା ଆପ୍ଲିକେସନ୍ ବୁଟଷ୍ଟ୍ରାପ୍ ଲଜିକ୍ ଉପରେ ନିର୍ଭର କରେ। ଯେହେତୁ ନିୟମିତ ରିଲିଜ୍ ସାଇକେଲ ସମୟରେ ଏକ ଅଫିସିଆଲ୍ ପ୍ୟାଚ୍ ଆସିବ, ଆଡମିନିଷ୍ଟ୍ରେଟରମାନେ ସେମାନଙ୍କ ସିଷ୍ଟମକୁ ସୁରକ୍ଷିତ ରଖିବା ପାଇଁ କେବଳ ଅକ୍ଟୋବର ୨୧ ର binaries ଉପରେ ନିର୍ଭର କରିପାରିବେ ନାହିଁ।

ପୂର୍ବ ଶୋଷଣର ପ୍ରମାଣ: ଅକ୍ଟୋବର ୧୭ ପର୍ଯ୍ୟନ୍ତ ଅଡିଟ୍ କରନ୍ତୁ

ଯଦିଓ PHP କହିଛି ଯେ ଖୁଲାସା ପୂର୍ବରୁ CVE-2026-115560 ର କୌଣସି ସକ୍ରିୟ ଶୋଷଣ ଡକ୍ୟୁମେଣ୍ଟ ହୋଇନାହିଁ, କିନ୍ତୁ ପୂର୍ବର PHP2Shell ଦୁର୍ବଳତାଗୁଡ଼ିକୁ ସକ୍ରିୟ ଭାବରେ ଯାଞ୍ଚ କରାଯାଉଥିଲା।

Amazon ର ଥ୍ରେଟ୍ ରିସର୍ଚ୍ଚରମାନେ ରିପୋର୍ଟ କରିଛନ୍ତି ଯେ ସେମାନଙ୍କର MadPot honeypot ନେଟୱାର୍କ ସାର୍ବଜନୀନ ଖୁଲାସା ଏବଂ ଜରୁରୀକାଳୀନ ପ୍ୟାଚ୍ ଆସିବାର ପୂରା ଚାରି ଦିନ ପୂର୍ବରୁ, ଅକ୍ଟୋବର ୧୭ ରେ PHP2Shell କୁ ଟାର୍ଗେଟ୍ କରୁଥିବା ଏକ୍ସପ୍ଲଏଟ୍ ପ୍ରୟାସକୁ କ୍ୟାପଚର କରିଥିଲା। ଏହି ଟ୍ରାଫିକ୍ ବ୍ୟବସାୟିକ anonymization ନେଟୱାର୍କରୁ ଆସିଥିଲା।

ଏହି ଗୁଇନ୍ଦା ସୂଚନାର ତୁରନ୍ତ କାର୍ଯ୍ୟକ୍ଷମ ପରିଣାମ ରହିଛି:

• ପ୍ୟାଚ୍ ପ୍ରୟୋଗ କରିବା ଦ୍ୱାରା ଭବିଷ୍ୟତର ଆକ୍ରମଣରୁ ସିଷ୍ଟମ ସୁରକ୍ଷିତ ହୁଏ, କିନ୍ତୁ ଏହା କହେ ନାହିଁ ଯେ ପୂର୍ବରୁ କୌଣସି ଅନୁପ୍ରବେଶ ଘଟିସାରିଛି କି ନାହିଁ।
• ଆକ୍ସେସ୍ ଲଗ୍, ଫାଇଲ୍ ପରିବର୍ତ୍ତନ, କିମ୍ବା ଅସ୍ୱାଭାବିକ ପ୍ରୋସେସ୍ ଏକ୍ସିକ୍ୟୁସନ୍‌ର ଯେକୌଣସି ଫରେନସିକ୍ ସମୀକ୍ଷା ଖୁଲାସା ତାରିଖରୁ ଆରମ୍ଭ ହେବା ପରିବର୍ତ୍ତେ ଅତି କମରେ ଅକ୍ଟୋବର ୧୭, ୨୦୨୬ ପର୍ଯ୍ୟନ୍ତ ପଛକୁ ଯିବା ଉଚିତ।

ପର୍ଯ୍ୟାୟକ୍ରମେ Mitigation ଏବଂ Hardening ଗାଇଡ୍

ଯେହେତୁ CVE-2026-115560 ପାଇଁ ଏକ ଅଫିସିଆଲ୍ ଇଞ୍ଜିନ୍ ପ୍ୟାଚ୍ ଏପର୍ଯ୍ୟନ୍ତ ପ୍ରସ୍ତୁତ କରାଯାଉଛି, ଆଡମିନିଷ୍ଟ୍ରେଟରମାନେ ଅକ୍ଟୋବର ୨୧ ର ଅପଡେଟ୍‌ଗୁଡ଼ିକର ରୋଲ୍‌ଆଉଟ୍ ସମାପ୍ତ କରିବା ସହିତ ତୁରନ୍ତ configuration mitigations ପ୍ରୟୋଗ କରିବା ଆବଶ୍ୟକ।

Step 1: php.ini ରେ Session Upload Progress କୁ Disable କରନ୍ତୁ

Upload progress କୁ disable କରିବା ଦ୍ୱାରା ଷ୍ଟାଣ୍ଡାର୍ଡ ଫାଇଲ୍ ଅପଲୋଡ୍ ଅକ୍ଷମ ନକରି CVE-2026-115560 ପାଇଁ ଆକ୍ରମଣ ପଥ ବନ୍ଦ ହୋଇଯାଏ। ଷ୍ଟାଣ୍ଡାର୍ଡ ଅପଲୋଡ୍ ସାଧାରଣ ଭାବରେ କାର୍ଯ୍ୟ କରିବା ଜାରି ରଖେ; କେବଳ PHP ର ଆଭ୍ୟନ୍ତରୀଣ session tracker ଅକ୍ଷମ ହୋଇଯାଏ।

ଡାଇରେକ୍ଟିଭ୍ କୁ ଏପରି ସେଟ୍ କରନ୍ତୁ 0 ଆପଣଙ୍କର ସକ୍ରିୟ php.ini କିମ୍ବା FPM pool କନଫିଗରେସନରେ:

; Disable PHP session upload progress tracking
session.upload_progress.enabled = 0

ସକ୍ରିୟ କନଫିଗରେସନ୍ ଫାଇଲ୍‌ଗୁଡ଼ିକରେ ଏହି ସେଟିଂକୁ ଯାଞ୍ଚ କରନ୍ତୁ:

# Check if session upload progress is enabled
php -i | grep -E "session.upload_progress.enabled"

ଯଦି କମାଣ୍ଡ ଫେରାଏ session.upload_progress.enabled => Off => Off, ତେବେ mitigation ସକ୍ରିୟ ଅଛି।

Step 2: PHP-FPM ଏବଂ Web Server Daemons କୁ Restart କରନ୍ତୁ

Worker process ଗୁଡ଼ିକ spawn ହେବା ସମୟରେ PHP configuration directives ପଢ଼ିଥାଏ। ଏଡିଟ୍ କରିବା php.ini ଚାଲୁଥିବା workers ଗୁଡ଼ିକ restart ନହେବା ପର୍ଯ୍ୟନ୍ତ ସେମାନଙ୍କ ଉପରେ କୌଣସି ପ୍ରଭାବ ପକାଏ ନାହିଁ।

ଆପଣଙ୍କର PHP ପ୍ରୋସେସିଂ ସର୍ଭିସ୍‌ଗୁଡ଼ିକୁ Restart କରନ୍ତୁ:

# For systems running PHP-FPM with systemd
sudo systemctl restart php*-fpm

# For systems running Apache with mod_php
sudo systemctl restart apache2 || sudo systemctl restart httpd

# Verify that worker processes refreshed their start times
ps -eo pid,lstart,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grep

Step 3: Runtime Handler Switches ପାଇଁ ଆପ୍ଲିକେସନ୍ କୋଡ୍ ଅଡିଟ୍ କରନ୍ତୁ

ଏହି ଦୁର୍ବଳତା ପାଇଁ ଆପ୍ଲିକେସନ୍ ସୁଇଚ୍ କରିବା ଆବଶ୍ୟକ session.serialize_handler କୁ runtime ରେ ବ୍ୟବହାର କରି ini_set()। ଆପ୍ଲିକେସନ୍ କୋଡ୍ କିମ୍ବା ଇନଷ୍ଟଲ୍ ହୋଇଥିବା vendor ଲାଇବ୍ରେରୀଗୁଡ଼ିକ ଏହି ସୁଇଚ୍ କରୁଛନ୍ତି କି ନାହିଁ ତାହା ଯାଞ୍ଚ କରିବା ପାଇଁ ଆପଣଙ୍କର କୋଡ୍‌ବେସ୍ ସ୍କାନ୍ କରନ୍ତୁ:

# Search for runtime serialization handler changes
grep -rn "session.serialize_handler" /var/www/html/ 2>/dev/null

ଯଦି ଆପଣଙ୍କ ସନ୍ଧାନରେ ଏହାର କୌଣସି ଉଦାହରଣ ନମିଳେ ini_set('session.serialize_handler', ...), ତେବେ ଆପଣଙ୍କର ଆପ୍ଲିକେସନ୍ ଦୁର୍ବଳ runtime transition କୁ ଇନଭୋକ୍ କରେ ନାହିଁ। ଯଦି vendor ଲାଇବ୍ରେରୀଗୁଡ଼ିକ ଏକ ନିର୍ଦ୍ଦିଷ୍ଟ handler ଆବଶ୍ୟକ କରନ୍ତି, ତେବେ ଏହାକୁ statically କନଫିଗର୍ କରନ୍ତୁ php.ini ରେ, ଏହା ପୂର୍ବରୁ dynamically କରିବା ପରିବର୍ତ୍ତେ session_start().

Step 4: ଅକ୍ଟୋବର ୧୭ ରୁ ଆଗକୁ ସିଷ୍ଟମ ଏବଂ ୱେବ୍ ଲଗ୍ ଯାଞ୍ଚ କରନ୍ତୁ

Honeypot ଡାଟା ଦ୍ୱାରା ଚିହ୍ନଟ ହୋଇଥିବା zero-day ୱିଣ୍ଡୋ ସମୟରେ ସିଷ୍ଟମଗୁଡ଼ିକ ଟାର୍ଗେଟ୍ ହୋଇନଥିବା ନିଶ୍ଚିତ କରିବାକୁ, ଆପଣଙ୍କର ୱେବ୍ ଲଗ୍ ଅଡିଟ୍ କରନ୍ତୁ:

# Check web server logs for suspicious session upload parameters
sudo zgrep -E "PHP_SESSION_UPLOAD_PROGRESS|php_serialize" /var/log/nginx/*access.log* /var/log/apache2/*access.log* 2>/dev/null | head -n 30

# Check for unexpected PHP files created since October 17
sudo find /var/www/html/ -type f -newermt "2026-10-17" -name "*.php" -ls

ୱେବ୍ ୱାର୍କର୍ ଆକାଉଣ୍ଟଗୁଡ଼ିକ ଦ୍ୱାରା spawn ହୋଇଥିବା ଯେକୌଣସି ଅପ୍ରମାଣିତ PHP ସ୍କ୍ରିପ୍ଟ କିମ୍ବା ଅପ୍ରତ୍ୟାଶିତ ବ୍ୟାକଗ୍ରାଉଣ୍ଡ ପ୍ରୋସେସ୍‌ଗୁଡ଼ିକୁ ପରୀକ୍ଷା କରନ୍ତୁ।

ଉପସଂହାର

CVE-2026-115560 ର ଖୁଲାସା ଏକ ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ ସୁରକ୍ଷା ଶିକ୍ଷାକୁ ଦୃଢ଼ କରେ: ସଫ୍ଟୱେର୍ ପ୍ୟାଚିଂ ଏବଂ configuration hardening ଏକାଠି କାମ କରିବା ଆବଶ୍ୟକ। ଯଦିଓ PHP2Shell ମେମୋରୀ ବଗ୍‌ଗୁଡ଼ିକର ସମାଧାନ ପାଇଁ ଟିମ୍‌ଗୁଡ଼ିକ ଅକ୍ଟୋବର ୨୧ ର ଜରୁରୀକାଳୀନ ପ୍ୟାଚ୍ ନିୟୋଜନ ସମାପ୍ତ କରିବା ଉଚିତ, ତଥାପି session upload progress କୁ disable କରିବା ଏହି ନୂତନ RCE attack vector ବିରୁଦ୍ଧରେ ତୁରନ୍ତ ସୁରକ୍ଷା ପ୍ରଦାନ କରେ। ଉଭୟ ପଦକ୍ଷେପ ଗ୍ରହଣ କରିବା ଦ୍ୱାରା upstream bugfix release ନଆସିବା ପର୍ଯ୍ୟନ୍ତ ଆପଣଙ୍କ ୱେବ୍ ଭିତ୍ତିଭୂମି ସୁରକ୍ଷିତ ଏବଂ ସ୍ଥିର ରହିବା ନିଶ୍ଚିତ ହୁଏ।

ସୁବିଧାଗୁଡ଼ିକ

• Session upload progress କୁ disable କରିବା ଦ୍ୱାରା recompiled binaries ପାଇଁ ଅପେକ୍ଷା ନକରି ତୁରନ୍ତ ସୁରକ୍ଷା ମିଳିଥାଏ।
• ଷ୍ଟାଣ୍ଡାର୍ଡ ଫାଇଲ୍ ଅପଲୋଡ୍ ସାଧାରଣ ଭାବରେ କାର୍ଯ୍ୟ କରିବା ଜାରି ରଖେ, ଯାହା ମୂଳ ଆପ୍ଲିକେସନ୍ ଫିଚରଗୁଡ଼ିକୁ ବଜାୟ ରଖେ।
• ଏକ ଅନାବଶ୍ୟକ ଲେଗାସି session hook କୁ ହଟାଇ ସାମଗ୍ରିକ attack surface ହ୍ରାସ କରେ।
• ଅକ୍ଟୋବର ୧୭ ପର୍ଯ୍ୟନ୍ତ ଲଗ୍ ଅଡିଟ୍ କରିବା ଦ୍ୱାରା ଖୁଲାସା ପୂର୍ବର probing ଏବଂ ସମ୍ଭାବ୍ୟ web shell drops ଚିହ୍ନଟ ହୋଇଥାଏ।
• ବିପଦପୂର୍ଣ୍ଣ runtime ପରିବେଶ ପରିବର୍ତ୍ତନ ତୁଳନାରେ static, deterministic session configuration କୁ ପ୍ରୋତ୍ସାହିତ କରେ।

ଅସୁବିଧାଗୁଡ଼ିକ

• Upload progress କୁ disable କରିବା ଦ୍ୱାରା PHP ର ଆଭ୍ୟନ୍ତରୀଣ session array କୁ query କରୁଥିବା କଷ୍ଟମ୍ UI progress bars ଭାଙ୍ଗିଯାଏ।
• ବଣ୍ଟିତ ସର୍ଭରଗୁଡ଼ିକରେ କନଫିଗରେସନ୍ ପରିବର୍ତ୍ତନ ଏବଂ daemon restart ର ସମନ୍ୱୟ ରକ୍ଷା କରିବା ଆବଶ୍ୟକ ହୁଏ।
• Configuration mitigations ଅନ୍ତର୍ନିହିତ ମେମୋରୀ ବଗ୍‌ଗୁଡ଼ିକର ସମାଧାନ କରେ ନାହିଁ, ଯାହାଦ୍ୱାରା ଜରୁରୀକାଳୀନ ଅପଡେଟ୍ ବାଧ୍ୟତାମୂଳକ ରହିଥାଏ।
• ଡାଇନାମିକ୍ ini_set କଲ୍‌ଗୁଡ଼ିକୁ obfuscated vendor ପ୍ୟାକେଜ୍ ମଧ୍ୟରେ ଚିହ୍ନଟ କରିବା ପାଇଁ ସ୍ୱତନ୍ତ୍ର କୋଡ୍ ଅଡିଟ୍ ଆବଶ୍ୟକ ହୁଏ।

ସତର୍କତା

ଏହି ଆର୍ଟିକିଲ୍ କେବଳ ଶିକ୍ଷଣୀୟ ଉଦ୍ଦେଶ୍ୟରେ ଉଦ୍ଦିଷ୍ଟ। ସିଷ୍ଟମ୍ କମାଣ୍ଡ, configuration directives, ଏବଂ ଫାଇଲ୍ ପାଥ୍ ଆପଣଙ୍କର ନିର୍ଦ୍ଦିଷ୍ଟ Linux distribution, PHP version, ଏବଂ ହୋଷ୍ଟିଂ ଆର୍କିଟେକଚର ଅନୁସାରେ ଆଡାପ୍ଟ କରାଯିବା ଆବଶ୍ୟକ। ପ୍ରଡକ୍ସନ୍ ଭିତ୍ତିଭୂମିରେ ପରିବର୍ତ୍ତନ କରିବା ପୂର୍ବରୁ ସର୍ବଦା ଏକ staging ପରିବେଶରେ configuration ପରିବର୍ତ୍ତନଗୁଡ଼ିକୁ ପରୀକ୍ଷା କରନ୍ତୁ ଏବଂ upstream ପ୍ରୋଜେକ୍ଟ maintainers ମାନଙ୍କ ସହିତ ସୁରକ୍ଷା ପରାମର୍ଶଗୁଡ଼ିକୁ ଯାଞ୍ଚ କରନ୍ତୁ।

ବାରମ୍ବାର ପଚରାଯାଉଥିବା ପ୍ରଶ୍ନଗୁଡ଼ିକ

• CVE-2026-115560 କ’ଣ? — ଏହା PHP ରେ ଏକ ନୂତନ ଭାବରେ ପ୍ରକାଶିତ remote code execution ଦୁର୍ବଳତା, ଯାହା session upload progress ଏବଂ session serialization handlers ରେ runtime ପରିବର୍ତ୍ତନ ମଧ୍ୟରେ ଥିବା mismatch କାରଣରୁ ଘଟିଥାଏ।
• ସର୍ବଶେଷ PHP ରିଲିଜ୍‌ରେ କ’ଣ CVE-2026-115560 ପ୍ୟାଚ୍ ହୋଇଛି? — ନା, ବର୍ତ୍ତମାନର ବିଲ୍ଡଗୁଡ଼ିକରେ ଏହି ତ୍ରୁଟି ଅନପ୍ୟାଚ୍‌ଡ ରହିଛି, ଏବଂ PHP ପ୍ରୋଜେକ୍ଟ ଏହାର ପରବର୍ତ୍ତୀ ନିୟମିତ ରିଲିଜ୍ ସାଇକେଲରେ ଏକ ଅଫିସିଆଲ୍ ଫିକ୍ସ ପ୍ରଦାନ କରିବାକୁ ଯୋଜନା କରିଛି।
• ଆଡମିନିଷ୍ଟ୍ରେଟରମାନେ ବର୍ତ୍ତମାନ ସର୍ଭରଗୁଡ଼ିକୁ କିପରି ସୁରକ୍ଷିତ ରଖିପାରିବେ? — ଆଡମିନିଷ୍ଟ୍ରେଟରମାନେ ସେଟ୍ କରିବା ଉଚିତ session.upload_progress.enabled = 0 ସେମାନଙ୍କର php.ini ଫାଇଲ୍‌ରେ ଏବଂ ସମସ୍ତ PHP worker services କୁ restart କରିବା ଉଚିତ।
• Upload progress କୁ disable କରିବା ଦ୍ୱାରା ୟୁଜରମାନେ ଫାଇଲ୍ ଅପଲୋଡ୍ କରିବାରେ ବାଧା ସୃଷ୍ଟି ହୁଏ କି? — ନା, HTTP POST ମାଧ୍ୟମରେ ଷ୍ଟାଣ୍ଡାର୍ଡ ଫାଇଲ୍ ଅପଲୋଡ୍ ସାଧାରଣ ଭାବରେ କାର୍ଯ୍ୟ କରିବା ଜାରି ରଖେ; କେବଳ PHP ର ଆଭ୍ୟନ୍ତରୀଣ real-time session progress tracker ଅକ୍ଷମ ହୋଇଥାଏ।
• ଅକ୍ଟୋବର ୨୧ ର ଜରୁରୀକାଳୀନ ଅପଡେଟ୍ ଇନଷ୍ଟଲ୍ କରିଥିବା ସିଷ୍ଟମଗୁଡ଼ିକୁ କ’ଣ ଏହି ନୂତନ ତ୍ରୁଟି ପ୍ରଭାବିତ କରେ? — ହଁ, ଅକ୍ଟୋବର ୨୧ ର ଅପଡେଟ୍‌ଗୁଡ଼ିକ ପୂର୍ବର PHP2Shell ମେମୋରୀ ତ୍ରୁଟିଗୁଡ଼ିକୁ ସମାଧାନ କରିଥିଲା, କିନ୍ତୁ CVE-2026-115560 ଏକ ପୃଥକ ସମସ୍ୟା ଯାହା configuration mitigation ଆବଶ୍ୟକ କରେ।
• ସୁରକ୍ଷା ଟିମ୍‌ଗୁଡ଼ିକ କାହିଁକି ଅକ୍ଟୋବର ୧୭ ପର୍ଯ୍ୟନ୍ତ କାର୍ଯ୍ୟକଳାପର ତଦନ୍ତ କରୁଛନ୍ତି? — Amazon ର MadPot ନେଟୱାର୍କରୁ ମିଳିଥିବା threat intelligence ସାର୍ବଜନୀନ ଖୁଲାସାର ଚାରି ଦିନ ପୂର୍ବରୁ PHP2Shell କୁ ଟାର୍ଗେଟ୍ କରୁଥିବା exploitation probes ଲକ୍ଷ୍ୟ କରିଥିଲା, ଯାହା ଆବଶ୍ୟକୀୟ ସମୀକ୍ଷା ୱିଣ୍ଡୋକୁ ବୃଦ୍ଧି କରିଛି।
• CVE-2026-115560 କୁ exploit କରିବା ପାଇଁ କେଉଁ ସର୍ତ୍ତଗୁଡ଼ିକ ଆବଶ୍ୟକ? — ଆପ୍ଲିକେସନ୍ ଏକ non-standard serialization handler ସହିତ ଆରମ୍ଭ ହେବା ଆବଶ୍ୟକ, ଏହାକୁ ବଦଳାଇ php ଜରିଆରେ ini_set() ପୂର୍ବରୁ session_start(), ଏବଂ session upload progress ସକ୍ଷମ ରହିଥିବା ଆବଶ୍ୟକ।

ଟ୍ୟାଗ୍‌ଗୁଡ଼ିକ

#php #cve2026115560 #php2shell #cybersecurity #vulnerability #infosec #sysadmin #devops #websecurity #patchmanagement