அவசர PHP2Shell புதுப்பிப்புகளுக்குப் பின் சில நாட்களிலேயே சரிசெய்யப்படாத மற்றொரு RCE குறைபாட்டை PHP வெளியிட்டுள்ளது

கணினி நிர்வாகிகள் மிக முக்கியமான PHP2Shell பாதிப்புகளுக்கான அவசர பேட்ச்களை நிறுவி முடித்துக் கொண்டிருந்த வேளையிலேயே, PHP மேம்பாட்டுக் குழு மற்றொரு பாதுகாப்பு எச்சரிக்கையை வெளியிட்டது. புதிதாகக் கண்டறியப்பட்ட ரிமோட் கோட் எக்ஸிகியூஷன் குறைபாடு தற்போதைய எஞ்சினில் சரிசெய்யப்படாமல் உள்ளது, இதனால் வலை உள்கட்டமைப்பு முழுவதும் உடனடி கட்டமைப்பு மதிப்பாய்வுகள் தேவைப்படுகின்றன.

இன்று அக்டோபர் 24, 2026. கடந்த எழுபத்திரண்டு மணிநேரமாக, பாதுகாப்பு குழுக்கள் அக்டோபர் 21 அன்று வெளியிடப்பட்ட இரண்டு முக்கியமான குறைபாடுகளைச் சரிசெய்ய தீவிரமாகச் செயல்பட்டு வருகின்றன. இப்போது, CVE-2026-115560 எனக் கண்காணிக்கப்படும் இந்த புதிய தகவல், அவசர புதுப்பிப்புகள் உள்ளடக்காத கூடுதல் தாக்குதல் பரப்பை அறிமுகப்படுத்துகிறது. சர்வர்கள், கன்டெய்னர்கள் அல்லது பகிரப்பட்ட ஹோஸ்டிங் ஆகியவற்றில் நீங்கள் தயாரிப்புச் சூழலில் PHP-ஐ இயக்குகிறீர்கள் என்றால், இந்தக் குறைபாடு எவ்வாறு செயல்படுகிறது என்பதைப் புரிந்துகொண்டு பரிந்துரைக்கப்பட்ட தணிப்பு நடவடிக்கைகளைப் பயன்படுத்துவது அவசியமாகும்.

CVE-2026-115560 என்றால் என்ன?

புதிதாக வெளியிடப்பட்ட இந்தச் சிக்கல், PHP-இன் session upload progress வழிமுறை மற்றும் session கட்டமைப்பில் செய்யப்படும் இயக்கநேர மாற்றங்களை உள்ளடக்கியது.

பயனர்கள் கோப்புகளைப் பதிவேற்றும் போது, PHP பரிமாற்ற முன்னேற்றத்தை நிகழ்நேரத்தில் கண்காணிக்கக்கூடிய உள்ளமைக்கப்பட்ட ஒரு அம்சம் session upload progress. இயக்கப்படும் போது, PHP உள்வரும் கோப்புப் பரிமாற்றங்களை இடைமறித்து, அப்ளிகேஷன் ஸ்கிரிப்ட் இயங்குவதற்கு முன்பே பயனரின் session-இல் முன்னேற்றத் தரவை நேரடியாக எழுதுகிறது.

வழக்கமான சூழ்நிலைகளில், இந்த அம்சம் பாதுகாப்பாக இயங்குகிறது. இருப்பினும், ஒரு அப்ளிகேஷன் அதன் session serialization handler இயக்கத்தின் போது மாறும் வகையில் மாற்றும்போது இந்தப் பாதிப்பு வெளிப்படுகிறது. ஒரு serialization handler என்பது சேமிப்பிற்காக arrays மற்றும் objects-களை PHP எவ்வாறு encode மற்றும் decode செய்கிறது என்பதைத் தீர்மானிக்கிறது, மேலும் இது போன்ற வடிவங்களை ஆதரிக்கிறது: php (இயல்புநிலை), php_binary, மற்றும் php_serialize.

அதிகாரப்பூர்வ பாதுகாப்பு அறிவிப்பின்படி, CVE-2026-115560 ஏற்படுவதற்கு மூன்று குறிப்பிட்ட நிபந்தனைகள் ஒன்றாக அமைய வேண்டும்:

1. சர்வர் தொடக்கத்தில் session.serialize_handler ஆகவோ அல்லது php_binary அல்லது php_serialize.
2. அப்ளிகேஷன் அந்த அமைப்பை php பயன்படுத்தி ini_set() இயக்கத்தின் போது, அழைப்பதற்கு முன் session_start().
3. சர்வரில் session upload progress இயக்கப்பட்ட நிலையில் இருக்க வேண்டும்.

ஸ்கிரிப்ட் இயங்குவதற்கு முன்பு ஆரம்ப ஹேண்ட்லரைப் பயன்படுத்தி PHP பதிவேற்ற கண்காணிப்புத் தரவை எழுதுவதால், ஹேண்ட்லர்களை மாறும் வகையில் மாற்றுவது session திறக்கப்படும்போது கடுமையான serialization பொருத்தமின்மையை ஏற்படுத்துகிறது. இது ஒரு தாக்குதல்தாரர் பிரத்யேகமாக உருவாக்கப்பட்ட உள்ளீட்டை வழங்க அனுமதிக்கிறது, இது deserialize செய்யப்படும்போது நினைவகச் சிதைவு மற்றும் ரிமோட் கோட் எக்ஸிகியூஷனைத் தூண்டுகிறது.

முந்தைய PHP2Shell பாதிப்புகளிலிருந்து இது எவ்வாறு வேறுபடுகிறது

CVE-2026-115560 என்பது அக்டோபர் 21 அன்று வெளியிடப்பட்ட அவசர புதுப்பிப்புகளின் தோல்வி அல்ல. அந்த புதுப்பிப்புகள் கூட்டாகப் பெயரிடப்பட்ட இரண்டு தனித்தனி, முக்கியமான குறைபாடுகளை சரிசெய்தன: PHP2Shell.

உங்கள் பாதிப்பு நிலையை மதிப்பிடுவதற்கு, இந்த மூன்று தனித்துவமான சிக்கல்களுக்கு இடையிலான வேறுபாட்டை நீங்கள் புரிந்து கொள்ள வேண்டும்:

1. CVE-2026-109618: Out-of-Memory Cleanup RCE

கோரிக்கை கையாளலின் போது PHP நினைவக பற்றாக்குறையை எதிர்கொள்ளும்போது இந்தப் பாதிப்பு ஏற்படுகிறது. கோரிக்கை தரவுக் கட்டமைப்புகள் ஓரளவு தொடங்கப்பட்டிருக்கும் போது நினைவகம் தீர்ந்துவிட்டால், வளங்களைச் சுத்தம் செய்ய PHP அதன் செயல்பாட்டை நிறுத்துகிறது. இந்த சுத்தம் செய்யும் போது, இயக்கநேரம் தவறான நினைவக நிலைகளை செயலாக்குகிறது, இது வலை பணியாளர் கணக்கின் கீழ் (குறிப்பாக Apache-இன் கீழ் mod_php) தாக்குதல்தாரர்கள் ரிமோட் கோட் எக்ஸிகியூஷனை அடைய அனுமதிக்கிறது. உங்கள் PHP binary-ஐ அப்டேட் செய்வது மட்டுமே முழுமையான தீர்வாகும்.

2. CVE-2026-109619: Stale State மற்றும் Use-After-Free

PHP-FPM போன்ற நிலையான சூழல்களில் HTTP கோரிக்கைகளுக்கு இடையே பணியாளர் செயல்முறையை மீண்டும் பயன்படுத்துவதால் இந்தச் சிக்கல் எழுகிறது. ஒரு பணியாளர் முந்தைய கோரிக்கையிலிருந்து நினைவகத்தை விடுவித்து, ஆனால் உள் பாயிண்டர்களை மீட்டமைக்கத் தவறினால், அதே பணியாளரால் செயலாக்கப்படும் அடுத்தடுத்த கோரிக்கை பழைய நினைவகத்தை அணுக முடியும். இது ஒரு use-after-free நிலையை உருவாக்குகிறது. பதிவேற்ற முன்னேற்றம் ஒரு தூண்டுதல் வழிமுறையாக இருந்தபோதிலும், இந்த அடிப்படை பிழை பல இயக்கநேர வழிகளில் நீண்டுள்ளது.

3. CVE-2026-115560: Runtime Handler Deserialization

முந்தைய நினைவக சிதைவு பிழைகளைப் போலல்லாமல், இந்த குறைபாடு பயன்பாட்டின் போக்கில் session வடிவங்களை மாற்றும் அப்ளிகேஷன் பூட்ஸ்ட்ராப் லாஜிக்கைச் சார்ந்துள்ளது. வழக்கமான வெளியீட்டு சுழற்சியின் போது அதிகாரப்பூர்வ பேட்ச் வரும் என்பதால், நிர்வாகிகள் தங்கள் அமைப்புகளைப் பாதுகாக்க அக்டோபர் 21 பைனரிகளை மட்டுமே சார்ந்திருக்க முடியாது.

முந்தைய சுரண்டலின் ஆதாரம்: அக்டோபர் 17 வரை தணிக்கை செய்யுங்கள்

வெளியிடுவதற்கு முன் CVE-2026-115560 தீவிரமாகச் சுரண்டப்பட்டதாக எந்த ஆவணமும் இல்லை என்று PHP கூறியிருந்தாலும், முந்தைய PHP2Shell பாதிப்புகள் இணையத்தில் தீவிரமாகப் பரிசோதிக்கப்பட்டன.

அமேசான் அச்சுறுத்தல் ஆராய்ச்சியாளர்கள், பொது அறிவிப்பு மற்றும் அவசர பேட்ச்களுக்கு நான்கு முழு நாட்களுக்கு முன்னதாக, அக்டோபர் 17 அன்று PHP2Shell-ஐ குறிவைத்து மேற்கொள்ளப்பட்ட சுரண்டல் முயற்சிகளை தங்கள் MadPot honeypot நெட்வொர்க் கண்டறிந்ததாகத் தெரிவித்தனர். இந்த நெட்வொர்க் டிராஃபிக் வணிகரீதியான அநாமதேய நெட்வொர்க்குகளிலிருந்து உருவானது.

இந்த உளவுத் தகவல் உடனடி செயல்பாட்டு விளைவுகளைக் கொண்டுள்ளது:

• பேட்ச்களைப் பயன்படுத்துவது எதிர்கால தாக்குதல்களுக்கு எதிராக அமைப்புகளைப் பாதுகாக்கிறது, ஆனால் ஏற்கனவே ஒரு ஊடுருவல் நிகழ்ந்துள்ளதா என்பதை அது உங்களுக்குத் தெரிவிக்காது.
• அணுகல் பதிவுகள், கோப்பு மாற்றங்கள் அல்லது வழக்கத்திற்கு மாறான செயல்முறை செயல்பாடுகள் குறித்த எந்தவொரு தடயவியல் மதிப்பாய்வும், வெளியிடப்பட்ட தேதியில் தொடங்குவதற்குப் பதிலாக, குறைந்தபட்சம் அக்டோபர் 17, 2026 வரை பின்னோக்கி நீட்டிக்கப்பட வேண்டும்.

படிப்படியான தணிப்பு மற்றும் வலுவூட்டல் வழிகாட்டி

CVE-2026-115560-க்கான அதிகாரப்பூர்வ எஞ்சின் பேட்ச் இன்னும் தயாராகி வருவதால், நிர்வாகிகள் அக்டோபர் 21 புதுப்பிப்புகளின் வெளியீட்டை முடிக்கும் அதே வேளையில், கட்டமைப்புத் தணிப்புகளை உடனடியாகப் பயன்படுத்த வேண்டும்.

படி 1: php.ini-யில் Session Upload Progress-ஐ முடக்கவும்

பதிவேற்ற முன்னேற்றத்தை முடக்குவது, நிலையான கோப்புப் பதிவேற்றங்களை முடக்காமல் CVE-2026-115560-க்கான தாக்குதல் பாதையை மூடுகிறது. வழக்கமான பதிவேற்றங்கள் தொடர்ந்து சாதாரணமாகச் செயல்படும்; PHP-இன் உள் session டிராக்கர் மட்டுமே முடக்கப்படுகிறது.

இந்த வழிகாட்டுதலை 0 என உங்கள் செயலில் உள்ள php.ini அல்லது FPM பூல் கட்டமைப்பில் அமைக்கவும்:

; Disable PHP session upload progress tracking
session.upload_progress.enabled = 0

செயலில் உள்ள உள்ளமைப்பு கோப்புகளில் இந்த அமைப்பைச் சரிபார்க்கவும்:

# Check if session upload progress is enabled
php -i | grep -E "session.upload_progress.enabled"

இந்த கட்டளை session.upload_progress.enabled => Off => Offஎன்று விடையளித்தால், தணிப்பு நடவடிக்கை செயலில் உள்ளது.

படி 2: PHP-FPM மற்றும் வலை சேவையக டீமான்களை மறுதொடக்கம் செய்யவும்

பணியாளர் செயல்முறைகள் உருவாகும் போது PHP உள்ளமைப்பு வழிகாட்டுதல்களைப் படிக்கிறது. இதில் php.ini -ஐ திருத்துவது இயங்கும் பணியாளர்கள் மறுதொடக்கம் செய்யப்படும் வரை அவர்கள் மீது எந்த விளைவையும் ஏற்படுத்தாது.

உங்கள் PHP செயலாக்க சேவைகளை மறுதொடக்கம் செய்யவும்:

# For systems running PHP-FPM with systemd
sudo systemctl restart php*-fpm

# For systems running Apache with mod_php
sudo systemctl restart apache2 || sudo systemctl restart httpd

# Verify that worker processes refreshed their start times
ps -eo pid,lstart,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grep

படி 3: இயக்கநேர ஹேண்ட்லர் மாற்றங்களுக்காக அப்ளிகேஷன் குறியீட்டைத் தணிக்கை செய்யவும்

இந்த பாதிப்பு ஏற்படுவதற்கு ஒரு அப்ளிகேஷன் அதன் session.serialize_handler அமைப்பை இயக்கநேரத்தில் ini_set()-ஐப் பயன்படுத்தி மாற்ற வேண்டும். அப்ளிகேஷன் குறியீடு அல்லது நிறுவப்பட்ட விற்பனையாளர் நூலகங்கள் இந்த மாற்றத்தைச் செய்கிறதா என்பதைச் சரிபார்க்க உங்கள் கோட்பேஸை ஸ்கேன் செய்யவும்:

# Search for runtime serialization handler changes
grep -rn "session.serialize_handler" /var/www/html/ 2>/dev/null

உங்கள் தேடலில் ini_set('session.serialize_handler', ...)இடம்பெறவில்லை என்றால், உங்கள் அப்ளிகேஷன் பாதிக்கப்படக்கூடிய இந்த இயக்கநேர மாற்றத்தை செயல்படுத்தவில்லை என்று அர்த்தம். விற்பனையாளர் நூலகங்களுக்கு ஒரு குறிப்பிட்ட ஹேண்ட்லர் தேவைப்பட்டால், அதை நிலையாக php.ini -யில் கட்டமைக்கவும்; மாறாக இதற்கு முன் இயங்குநிலையில் செய்ய வேண்டாம்: session_start().

படி 4: அக்டோபர் 17 முதல் கணினி மற்றும் வலைப் பதிவுகளை ஆய்வு செய்யவும்

ஹனிபாட் தரவுகளால் அடையாளம் காணப்பட்ட ஜீரோ-டே காலக்கட்டத்தில் உங்கள் அமைப்புகள் குறிவைக்கப்படவில்லை என்பதை உறுதிப்படுத்த, உங்கள் வலைப் பதிவுகளைத் தணிக்கை செய்யவும்:

# Check web server logs for suspicious session upload parameters
sudo zgrep -E "PHP_SESSION_UPLOAD_PROGRESS|php_serialize" /var/log/nginx/*access.log* /var/log/apache2/*access.log* 2>/dev/null | head -n 30

# Check for unexpected PHP files created since October 17
sudo find /var/www/html/ -type f -newermt "2026-10-17" -name "*.php" -ls

வலைப் பணியாளர் கணக்குகளால் உருவாக்கப்பட்ட சரிபார்க்கப்படாத ஏதேனும் PHP ஸ்கிரிப்ட்கள் அல்லது எதிர்பாராத பின்னணி செயல்முறைகளை ஆய்வு செய்யவும்.

முடிவுரை

CVE-2026-115560 பற்றிய தகவல் ஒரு முக்கியமான பாதுகாப்புப் பாடத்தை மீண்டும் உறுதிப்படுத்துகிறது: மென்பொருள் பேட்ச் செய்தலும் கட்டமைப்பு வலுவூட்டலும் ஒன்றாகச் செயல்பட வேண்டும். PHP2Shell நினைவகப் பிழைகளைத் தீர்க்க குழுக்கள் அக்டோபர் 21 அவசர பேட்ச்களைப் பயன்படுத்த வேண்டும் என்றாலும், session upload progress-ஐ முடக்குவது இந்த புதிய RCE தாக்குதலுக்கு எதிராக உடனடி பாதுகாப்பை வழங்குகிறது. இந்த இரண்டு நடவடிக்கைகளையும் மேற்கொள்வது, அப்ஸ்ட்ரீம் பிழைத்திருத்த வெளியீடு வரும் வரை உங்கள் வலை உள்கட்டமைப்பு உறுதியாக இருப்பதை உறுதி செய்கிறது.

நன்மைகள்

• மறுதொகுப்பு செய்யப்பட்ட பைனரிகளுக்காகக் காத்திருக்காமல், session upload progress-ஐ முடக்குவது உடனடிப் பாதுகாப்பை வழங்குகிறது.
• நிலையான கோப்புப் பதிவேற்றங்கள் வழக்கம் போல் தொடர்ந்து செயல்படுகின்றன, இது முதன்மை அப்ளிகேஷன் அம்சங்களைப் பாதுகாக்கிறது.
• தேவையற்ற பழைய session hook-ஐ நீக்குவதன் மூலம் ஒட்டுமொத்த தாக்குதல் பரப்பைக் குறைக்கிறது.
• அக்டோபர் 17 வரை பதிவுகளைத் தணிக்கை செய்வது, பாதிப்பு வெளியிடுவதற்கு முந்தைய சோதனைகளையும் சாத்தியமான web shell பதிவுகளையும் கண்டறிய உதவுகிறது.
• ஆபத்தான இயக்கநேர சூழல் மாற்றங்களை விட நிலையான, உறுதியான session கட்டமைப்பை ஊக்குவிக்கிறது.

குறைபாடுகள்

• பதிவேற்ற முன்னேற்றத்தை முடக்குவது, PHP-இன் உள் session array-ஐக் கேட்கும் தனிப்பயன் UI முன்னேற்றக் குறிகாட்டிகளைப் பாதிக்கிறது.
• விநியோகிக்கப்பட்ட சர்வர் கூட்டமைப்பு முழுவதும் கட்டமைப்பு மாற்றங்களையும் டீமான் மறுதொடக்கங்களையும் ஒருங்கிணைக்க வேண்டியுள்ளது.
• கட்டமைப்புத் தணிப்புகள் அடிப்படை நினைவகப் பிழைகளைச் சரிசெய்யாது, இதனால் அவசர புதுப்பிப்புகள் கட்டாயமாகின்றன.
• மறைக்கப்பட்ட விற்பனையாளர் தொகுப்புகளுக்குள் மாறும் தன்மையுடைய ini_set அழைப்புகளைக் கண்டறிவதற்கு பிரத்யேக குறியீட்டுத் தணிக்கைகள் தேவைப்படுகின்றன.

எச்சரிக்கை

இந்தக் கட்டுரை கல்வி நோக்கங்களுக்காக மட்டுமே. கணினி கட்டளைகள், கட்டமைப்பு வழிகாட்டுதல்கள் மற்றும் கோப்புப் பாதைகள் ஆகியவை உங்கள் குறிப்பிட்ட Linux விநியோகம், PHP பதிப்பு மற்றும் ஹோஸ்டிங் கட்டமைப்புக்கு ஏற்ப மாற்றியமைக்கப்பட வேண்டும். தயாரிப்பு உள்கட்டமைப்பை மாற்றுவதற்கு முன், எப்போதும் கட்டமைப்பு மாற்றங்களை ஸ்டேஜிங் சூழலில் சோதித்துப் பார்த்து, அப்ஸ்ட்ரீம் திட்டப் பராமரிப்பாளர்களுடன் பாதுகாப்பு ஆலோசனைகளைச் சரிபார்க்கவும்.

அடிக்கடி கேட்கப்படும் கேள்விகள்

• CVE-2026-115560 என்றால் என்ன? — இது session upload progress மற்றும் session serialization handler-களில் செய்யப்படும் இயக்கநேர மாற்றங்களுக்கு இடையேயான பொருத்தமின்மையால் ஏற்படும், PHP-இல் புதிதாக வெளியிடப்பட்ட ரிமோட் கோட் எக்ஸிகியூஷன் பாதிப்பாகும்.
• சமீபத்திய PHP வெளியீடுகளில் CVE-2026-115560 சரிசெய்யப்பட்டுள்ளதா? — இல்லை, தற்போதைய உருவாக்கங்களில் இந்த குறைபாடு சரிசெய்யப்படாமல் உள்ளது, மேலும் PHP திட்டம் தனது அடுத்த வழக்கமான வெளியீட்டு சுழற்சியில் அதிகாரப்பூர்வ திருத்தத்தை வழங்க திட்டமிட்டுள்ளது.
• நிர்வாகிகள் இப்போது எவ்வாறு சர்வர்களைப் பாதுகாக்க முடியும்? — நிர்வாகிகள் session.upload_progress.enabled = 0 என்பதை தங்களின் php.ini கோப்புகளில் அமைத்து, அனைத்து PHP பணியாளர் சேவைகளையும் மறுதொடக்கம் செய்ய வேண்டும்.
• பதிவேற்ற முன்னேற்றத்தை முடக்குவது பயனர்கள் கோப்புகளைப் பதிவேற்றுவதைத் தடுக்குமா? — இல்லை, HTTP POST மூலமான நிலையான கோப்புப் பதிவேற்றங்கள் வழக்கம் போல் தொடர்ந்து செயல்படும்; PHP-இன் உள் நிகழ்நேர session முன்னேற்ற டிராக்கர் மட்டுமே முடக்கப்படுகிறது.
• அக்டோபர் 21 அவசர புதுப்பிப்புகளை நிறுவிய அமைப்புகளை இந்த புதிய குறைபாடு பாதிக்குமா? — ஆம், அக்டோபர் 21 புதுப்பிப்புகள் முந்தைய PHP2Shell நினைவக குறைபாடுகளைச் சரிசெய்தன, ஆனால் CVE-2026-115560 என்பது கட்டமைப்புத் தணிப்பு தேவைப்படும் ஒரு தனிப் பிரச்சினையாகும்.
• பாதுகாப்புக் குழுக்கள் அக்டோபர் 17 வரையிலான செயல்பாடுகளை ஏன் ஆராய்கின்றன? — அமேசானின் MadPot நெட்வொர்க்கில் இருந்து பெறப்பட்ட அச்சுறுத்தல் புலனாய்வு, பொது அறிவிப்புக்கு நான்கு நாட்களுக்கு முன்பே PHP2Shell-ஐ குறிவைத்து சுரண்டல் சோதனைகள் நடந்ததைக் கவனித்தது, இது தேவையான மறுஆய்வு கால வரம்பை விரிவுபடுத்துகிறது.
• CVE-2026-115560-ஐச் சுரண்டுவதற்கு என்ன நிபந்தனைகள் தேவை? — அப்ளிகேஷன் ஒரு நிலையற்ற serialization handler-உடன் தொடங்க வேண்டும், அதை php ஆக ini_set() மூலம் மாற்றி, session_start()-க்கு முன் அழைக்க வேண்டும், மேலும் session upload progress இயக்கப்பட்டிருக்க வேண்டும்.

குறிச்சொற்கள்

#php #cve2026115560 #php2shell #cybersecurity #vulnerability #infosec #sysadmin #devops #websecurity #patchmanagement