ఎమర్జెన్సీ PHP2Shell అప్‌డేట్‌ల తర్వాత కొద్ది రోజులకే మరో ప్యాచ్ చేయని RCE లోపాన్ని బహిర్గతం చేసిన PHP

కీలకమైన PHP2Shell దుర్బలత్వాల కోసం సిస్టమ్ నిర్వాహకులు ఎమర్జెన్సీ ప్యాచ్ రోల్‌అవుట్‌లను పూర్తి చేస్తున్న సమయంలోనే, PHP డెవలప్‌మెంట్ బృందం మరొక భద్రతా సలహా పత్రాన్ని (security advisory) విడుదల చేసింది. కొత్తగా గుర్తించబడిన రిమోట్ కోడ్ ఎగ్జిక్యూషన్ (RCE) లోపం ప్రస్తుత ఇంజిన్‌లో ఇంకా ప్యాచ్ చేయబడలేదు, దీనివల్ల వెబ్ ఇన్‌ఫ్రాస్ట్రక్చర్‌లో వెంటనే కాన్ఫిగరేషన్ సమీక్షలు చేపట్టాల్సి ఉంది.

ఈ రోజు అక్టోబర్ 24, 2026. గత డెబ్బై రెండు గంటలుగా, అక్టోబర్ 21న వెల్లడైన రెండు క్లిష్టమైన లోపాలను ప్యాచ్ చేయడానికి సెక్యూరిటీ బృందాలు తీవ్రంగా శ్రమిస్తున్నాయి. ఇప్పుడు, CVE-2026-115560 గా ట్రాక్ చేయబడుతున్న ఈ కొత్త వెల్లడి, ఎమర్జెన్సీ అప్‌డేట్‌లు కవర్ చేయని అదనపు దాడి ఉపరితలాన్ని (attack surface) తెరపైకి తెచ్చింది. మీరు సర్వర్లు, కంటైనర్లు లేదా షేర్డ్ హోస్టింగ్‌లో ప్రొడక్షన్‌లో PHPని నడుపుతుంటే, ఈ లోపం ఎలా పనిచేస్తుందో అర్థం చేసుకోవడం మరియు సిఫార్సు చేసిన నివారణ చర్యలను వర్తింపజేయడం చాలా ముఖ్యం.

CVE-2026-115560 అంటే ఏమిటి?

కొత్తగా వెల్లడైన ఈ సమస్య PHP యొక్క session upload progress మెకానిజం మరియు సెషన్ కాన్ఫిగరేషన్‌కు చేసే రన్‌టైమ్ మార్పులకు సంబంధించినది.

వినియోగదారులు ఫైళ్లను అప్‌లోడ్ చేసినప్పుడు, PHP నిజ సమయంలో బదిలీ పురోగతిని ట్రాక్ చేయడానికి అంతర్నిర్మిత ఫీచర్‌ను ఉపయోగిస్తుంది, దీనిని session upload progressఅంటారు. ఇది ఎనేబుల్ చేయబడినప్పుడు, అప్లికేషన్ స్క్రిప్ట్ ఎగ్జిక్యూట్ కావడానికి ముందే PHP ఇన్‌కమింగ్ ఫైల్ బదిలీలను అడ్డగించి, ప్రోగ్రెస్ డేటాను నేరుగా యూజర్ సెషన్‌లోకి రాస్తుంది.

సాధారణ పరిస్థితుల్లో, ఈ ఫీచర్ సురక్షితంగా పనిచేస్తుంది. అయితే, ఒక అప్లికేషన్ తన session serialization handler ను ఎగ్జిక్యూషన్ సమయంలో డైనమిక్‌గా మార్చినప్పుడు ఈ దుర్బలత్వం తలెత్తుతుంది. స్టోరేజ్ కోసం అర్రేలు మరియు ఆబ్జెక్ట్‌లను PHP ఎలా ఎన్‌కోడ్, డీకోడ్ చేయాలో సీరియలైజేషన్ హ్యాండ్లర్ నిర్ణయిస్తుంది; ఇది ఇటువంటి ఫార్మాట్‌లకు మద్దతు ఇస్తుంది: php (డిఫాల్ట్), php_binary, మరియు php_serialize.

అధికారిక భద్రతా నోటీసు ప్రకారం, CVE-2026-115560 తలెత్తడానికి మూడు నిర్దిష్ట పరిస్థితులు కలిసి రావాలి:

1. సర్వర్ మొదట session.serialize_handler ను వీటిలో ఒకటిగా కాన్ఫిగర్ చేస్తుంది: php_binary లేదా php_serialize.
2. అప్లికేషన్ ఆ సెట్టింగ్‌ను php గా మారుస్తుంది — ini_set() ను ఉపయోగించి, ఎగ్జిక్యూషన్ సమయంలో, దీనికి ముందు: session_start().
3. సర్వర్‌లో session upload progress ఎనేబుల్ చేయబడి ఉండటం.

స్క్రిప్ట్ ఎగ్జిక్యూషన్‌కు ముందే PHP ప్రారంభ హ్యాండ్లర్‌ను ఉపయోగించి అప్‌లోడ్ ట్రాకింగ్ డేటాను వ్రాయడం వల్ల, హ్యాండ్లర్‌లను డైనమిక్‌గా మార్చడం వలన సెషన్ తెరుచుకున్నప్పుడు తీవ్రమైన సీరియలైజేషన్ అసమతుల్యత ఏర్పడుతుంది. ఇది డిసీరియలైజ్ అయినప్పుడు మెమరీ కరప్షన్ మరియు రిమోట్ కోడ్ ఎగ్జిక్యూషన్‌ను ప్రేరేపించేలా రూపొందించిన ఇన్‌పుట్‌ను అందించడానికి దాడిదారుడిని అనుమతిస్తుంది.

గతంలోని PHP2Shell దుర్బలత్వాల నుండి ఇది ఎలా భిన్నంగా ఉంటుంది

CVE-2026-115560 అనేది అక్టోబర్ 21న విడుదల చేసిన ఎమర్జెన్సీ అప్‌డేట్‌ల వైఫల్యం కాదు. ఆ అప్‌డేట్‌లు సమిష్టిగా ఈ పేరుతో పిలువబడే రెండు వేర్వేరు, కీలకమైన లోపాలను పరిష్కరించాయి: PHP2Shell.

మీ రిస్క్ స్థాయిని అంచనా వేయడానికి, మీరు ఈ మూడు ప్రత్యేక సమస్యల మధ్య తేడాను గుర్తించాలి:

1. CVE-2026-109618: Out-of-Memory Cleanup RCE

రిక్వెస్ట్ హ్యాండ్లింగ్ సమయంలో PHP మెమరీ కొరతను (memory exhaustion) ఎదుర్కొన్నప్పుడు ఈ దుర్బలత్వం తలెత్తుతుంది. రిక్వెస్ట్ డేటా స్ట్రక్చర్‌లు పాక్షికంగా ప్రారంభించబడినప్పుడు మెమరీ అయిపోతే, వనరులను శుభ్రం చేయడానికి PHP ఎగ్జిక్యూషన్‌ను నిలిపివేస్తుంది. ఈ క్లీనప్ సమయంలో, రన్‌టైమ్ చెల్లని మెమరీ స్థితులను ప్రాసెస్ చేస్తుంది, ఇది దాడిదారులకు వెబ్ వర్కర్ ఖాతా కింద (ముఖ్యంగా Apache mod_phpకింద) రిమోట్ కోడ్ ఎగ్జిక్యూషన్‌ను పొందే వీలు కల్పిస్తుంది. మీ PHP బైనరీని అప్‌డేట్ చేయడం ఒక్కటే దీనికి పూర్తి పరిష్కారం.

2. CVE-2026-109619: Stale State and Use-After-Free

PHP-FPM వంటి నిరంతర వాతావరణాలలో HTTP అభ్యర్థనల మధ్య వర్కర్ ప్రాసెస్ పునర్వినియోగం నుండి ఈ సమస్య ఉద్భవిస్తుంది. మునుపటి రిక్వెస్ట్ నుండి వర్కర్ మెమరీని ఖాళీ చేసినప్పటికీ, అంతర్గత పాయింటర్లను రీసెట్ చేయడంలో విఫలమైనప్పుడు, అదే వర్కర్ ద్వారా ప్రాసెస్ చేయబడే తదుపరి రిక్వెస్ట్ పాత మెమరీని యాక్సెస్ చేయగలదు. ఇది ఒక use-after-free పరిస్థితిని కలిగిస్తుంది. అప్‌లోడ్ ప్రోగ్రెస్ ఒక ట్రిగ్గర్ మెకానిజం అయినప్పటికీ, అంతర్లీన బగ్ అనేక రన్‌టైమ్ పాత్‌లలో విస్తరించి ఉంది.

3. CVE-2026-115560: Runtime Handler Deserialization

మునుపటి మెమరీ కరప్షన్ బగ్‌ల వలె కాకుండా, ఈ లోపం అప్లికేషన్ బూట్‌స్ట్రాప్ లాజిక్ మధ్యలోనే సెషన్ ఫార్మాట్‌లను మార్చడంపై ఆధారపడి ఉంటుంది. సాధారణ విడుదల చక్రంలో అధికారిక ప్యాచ్ వస్తుంది కాబట్టి, నిర్వాహకులు తమ సిస్టమ్‌లను రక్షించుకోవడానికి కేవలం అక్టోబర్ 21 బైనరీలపై మాత్రమే ఆధారపడలేరు.

ముందస్తు దుర్వినియోగం ఆధారాలు: అక్టోబర్ 17 వరకు ఆడిట్ చేయండి

CVE-2026-115560 బహిర్గతం కావడానికి ముందు ఎలాంటి యాక్టివ్ దుర్వినియోగం జరిగినట్లు నమోదు కాలేదని PHP పేర్కొన్నప్పటికీ, మునుపటి PHP2Shell దుర్బలత్వాలపై ఇంటర్నెట్‌లో విస్తృతంగా దాడుల ప్రయత్నాలు జరిగాయి.

బహిరంగ ప్రకటన మరియు అత్యవసర ప్యాచ్‌లకు పూర్తి నాలుగు రోజుల ముందు, అంటే అక్టోబర్ 17నే PHP2Shell ను లక్ష్యంగా చేసుకున్న దాడి ప్రయత్నాలను తమ MadPot హనీపాట్ నెట్‌వర్క్ గుర్తించిందని Amazon ముప్పు పరిశోధకులు నివేదించారు. ఈ ట్రాఫిక్ వాణిజ్య అనామకీకరణ నెట్‌వర్క్‌ల నుండి వచ్చింది.

ఈ సమాచారం తక్షణ కార్యాచరణ ప్రభావాలను కలిగి ఉంది:

• ప్యాచ్‌లను వర్తింపజేయడం భవిష్యత్ దాడుల నుండి సిస్టమ్‌లను సురక్షితం చేస్తుంది, కానీ ఇప్పటికే ఏదైనా చొరబాటు జరిగిందా లేదా అనేది తెలియజేయదు.
• యాక్సెస్ లాగ్‌లు, ఫైల్ సవరణలు లేదా అసాధారణ ప్రాసెస్ ఎగ్జిక్యూషన్‌ల ఫోరెన్సిక్ సమీక్షను బహిర్గతం చేసిన తేదీ నుండి కాకుండా, కనీసం అక్టోబర్ 17, 2026 వరకు వెనక్కి విస్తరించాలి.

దశలవారీగా ఉపశమన మరియు భద్రతా పటిష్టత గైడ్

CVE-2026-115560 కోసం అధికారిక ఇంజిన్ ప్యాచ్ ఇంకా సిద్ధమవుతున్నందున, నిర్వాహకులు అక్టోబర్ 21 అప్‌డేట్‌ల రోల్‌అవుట్‌ను పూర్తి చేస్తూనే, వెంటనే కాన్ఫిగరేషన్ నివారణ చర్యలను వర్తింపజేయాలి.

దశ 1: php.ini లో Session Upload Progress ను డిసేబుల్ చేయండి

అప్‌లోడ్ ప్రోగ్రెస్ నిలిపివేయడం సాధారణ ఫైల్ అప్‌లోడ్‌లను నిలిపివేయకుండానే CVE-2026-115560 యొక్క దాడి మార్గాన్ని మూసివేస్తుంది. సాధారణ అప్‌లోడ్‌లు ఎప్పటిలాగే పనిచేస్తూనే ఉంటాయి; కేవలం PHP అంతర్గత సెషన్ ట్రాకర్ మాత్రమే డిసేబుల్ అవుతుంది.

డైరెక్టివ్‌ను 0 గా మీ యాక్టివ్ php.ini లేదా FPM పూల్ కాన్ఫిగరేషన్‌లో సెట్ చేయండి:

; Disable PHP session upload progress tracking
session.upload_progress.enabled = 0

యాక్టివ్ కాన్ఫిగరేషన్ ఫైళ్లలో సెట్టింగ్‌ను ధృవీకరించండి:

# Check if session upload progress is enabled
php -i | grep -E "session.upload_progress.enabled"

ఒకవేళ కమాండ్ session.upload_progress.enabled => Off => Offఅని చూపిస్తే, నివారణ చర్య యాక్టివ్‌గా ఉన్నట్లు అర్థం.

దశ 2: PHP-FPM మరియు వెబ్ సర్వర్ డెమోన్‌లను రీస్టార్ట్ చేయండి

వర్కర్ ప్రాసెస్‌లు ప్రారంభమైనప్పుడు PHP కాన్ఫిగరేషన్ డైరెక్టివ్‌లను చదువుతుంది. php.ini ను ఎడిట్ చేసినప్పటికీ, రన్ అవుతున్న వర్కర్లను రీస్టార్ట్ చేసే వరకు వాటిపై ఎలాంటి ప్రభావం ఉండదు.

మీ PHP ప్రాసెసింగ్ సర్వీసులను రీస్టార్ట్ చేయండి:

# For systems running PHP-FPM with systemd
sudo systemctl restart php*-fpm

# For systems running Apache with mod_php
sudo systemctl restart apache2 || sudo systemctl restart httpd

# Verify that worker processes refreshed their start times
ps -eo pid,lstart,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grep

దశ 3: రన్‌టైమ్ హ్యాండ్లర్ మార్పుల కోసం అప్లికేషన్ కోడ్‌ను ఆడిట్ చేయండి

ఈ దుర్బలత్వం తలెత్తాలంటే అప్లికేషన్ session.serialize_handler ను రన్‌టైమ్‌లో ini_set()ఉపయోగించి మార్చాల్సి ఉంటుంది. మీ అప్లికేషన్ కోడ్ లేదా ఇన్‌స్టాల్ చేసిన వెండర్ లైబ్రరీలు ఈ మార్పును చేస్తున్నాయో లేదో ధృవీకరించడానికి మీ కోడ్‌బేస్‌ను స్కాన్ చేయండి:

# Search for runtime serialization handler changes
grep -rn "session.serialize_handler" /var/www/html/ 2>/dev/null

మీ శోధనలో ini_set('session.serialize_handler', ...)యొక్క ఉదంతాలు ఏవీ కనిపించకపోతే, మీ అప్లికేషన్ ఈ దుర్బలమైన రన్‌టైమ్ మార్పును చేపట్టడం లేదని అర్థం. ఒకవేళ వెండర్ లైబ్రరీలకు నిర్దిష్ట హ్యాండ్లర్ అవసరమైతే, దానిని php.ini లో స్టాటిక్‌గా కాన్ఫిగర్ చేయండి, దీనికి ముందు డైనమిక్‌గా కాదు: session_start().

దశ 4: అక్టోబర్ 17 నుండి సిస్టమ్ మరియు వెబ్ లాగ్‌లను పరిశీలించండి

హనీపాట్ డేటా ద్వారా గుర్తించబడిన జీరో-డే విండో సమయంలో సిస్టమ్‌లు లక్ష్యంగా కాలేదని నిర్ధారించుకోవడానికి, మీ వెబ్ లాగ్‌లను ఆడిట్ చేయండి:

# Check web server logs for suspicious session upload parameters
sudo zgrep -E "PHP_SESSION_UPLOAD_PROGRESS|php_serialize" /var/log/nginx/*access.log* /var/log/apache2/*access.log* 2>/dev/null | head -n 30

# Check for unexpected PHP files created since October 17
sudo find /var/www/html/ -type f -newermt "2026-10-17" -name "*.php" -ls

వెబ్ వర్కర్ ఖాతాల ద్వారా ప్రారంభించబడిన ఏవైనా ధృవీకరించబడని PHP స్క్రిప్ట్‌లు లేదా ఊహించని బ్యాక్‌గ్రౌండ్ ప్రాసెస్‌లను పరిశీలించండి.

ముగింపు

CVE-2026-115560 బహిర్గతం కావడం ఒక ముఖ్యమైన భద్రతా పాఠాన్ని గుర్తుచేస్తుంది: సాఫ్ట్‌వేర్ ప్యాచింగ్ మరియు కాన్ఫిగరేషన్ పటిష్టత రెండూ కలిసి పనిచేయాలి. PHP2Shell మెమరీ బగ్‌లను పరిష్కరించడానికి బృందాలు అక్టోబర్ 21 నాటి అత్యవసర ప్యాచ్‌లను అమలు చేయడం పూర్తి చేయాల్సి ఉండగా, session upload progress ను డిసేబుల్ చేయడం ఈ సరికొత్త RCE దాడి వెక్టర్‌కు వ్యతిరేకంగా తక్షణ రక్షణను అందిస్తుంది. ఈ రెండు చర్యలను చేపట్టడం వల్ల అప్‌స్ట్రీమ్ బగ్‌ఫిక్స్ విడుదలయ్యే వరకు మీ వెబ్ ఇన్‌ఫ్రాస్ట్రక్చర్ పటిష్టంగా ఉండేలా చేస్తుంది.

ప్రయోజనాలు

• session upload progress ను డిసేబుల్ చేయడం రీకంపైల్ చేసిన బైనరీల కోసం వేచి ఉండాల్సిన అవసరం లేకుండానే తక్షణ రక్షణను అందిస్తుంది.
• ప్రాథమిక అప్లికేషన్ ఫీచర్‌లను నిలుపుకుంటూ, సాధారణ ఫైల్ అప్‌లోడ్‌లు యథావిధిగా పనిచేస్తూనే ఉంటాయి.
• అనవసరమైన లెగసీ సెషన్ హుక్‌ను తొలగించడం ద్వారా మొత్తం దాడి ఉపరితలాన్ని తగ్గిస్తుంది.
• లాగ్‌లను అక్టోబర్ 17 వరకు ఆడిట్ చేయడం ద్వారా సమాచారం బహిర్గతం కావడానికి ముందే జరిగిన దాడుల అన్వేషణను మరియు సంభావ్య వెబ్ షెల్ డ్రాప్‌లను గుర్తించవచ్చు.
• ప్రమాదకరమైన రన్‌టైమ్ ఎన్విరాన్‌మెంట్ మార్పుల కంటే స్టాటిక్, స్థిరమైన సెషన్ కాన్ఫిగరేషన్‌ను ప్రోత్సహిస్తుంది.

ప్రతికూలతలు

• upload progress ను డిసేబుల్ చేయడం వల్ల PHP యొక్క అంతర్గత సెషన్ అర్రేను ప్రశ్నించే అనుకూలీకరించిన UI ప్రోగ్రెస్ బార్‌లు పనిచేయవు.
• విస్తరించిన బహుళ సర్వర్లలో కాన్ఫిగరేషన్ మార్పులు మరియు డెమోన్ రీస్టార్ట్‌లను సమన్వయం చేయడం అవసరం.
• కాన్ఫిగరేషన్ నివారణ చర్యలు అంతర్లీన మెమరీ బగ్‌లను పరిష్కరించలేవు, కాబట్టి ఎమర్జెన్సీ అప్‌డేట్‌లను ఇన్‌స్టాల్ చేయడం తప్పనిసరి.
• అస్పష్టమైన వెండర్ ప్యాకేజీలలో డైనమిక్ ini_set కాల్స్‌ను గుర్తించడానికి ప్రత్యేక కోడ్ ఆడిట్‌లు అవసరమవుతాయి.

హెచ్చరిక

ఈ వ్యాసం విద్యా ప్రయోజనాల కోసం మాత్రమే. సిస్టమ్ కమాండ్‌లు, కాన్ఫిగరేషన్ ఆదేశాలు మరియు ఫైల్ పాత్‌లను మీ నిర్దిష్ట Linux డిస్ట్రిబ్యూషన్, PHP వెర్షన్ మరియు హోస్టింగ్ ఆర్కిటెక్చర్‌కు అనుగుణంగా మార్చుకోవాలి. ప్రొడక్షన్ ఇన్‌ఫ్రాస్ట్రక్చర్‌ను సవరించే ముందు ఎల్లప్పుడూ స్టేజింగ్ వాతావరణంలో కాన్ఫిగరేషన్ మార్పులను పరీక్షించండి మరియు అప్‌స్ట్రీమ్ ప్రాజెక్ట్ మెయింటెయినర్ల భద్రతా సలహాలను ధృవీకరించుకోండి.

తరచుగా అడిగే ప్రశ్నలు

• CVE-2026-115560 అంటే ఏమిటి? — ఇది session upload progress మరియు సెషన్ సీరియలైజేషన్ హ్యాండ్లర్‌లకు చేసే రన్‌టైమ్ మార్పుల మధ్య అసమతుల్యత వల్ల ఏర్పడే కొత్తగా వెల్లడైన PHP రిమోట్ కోడ్ ఎగ్జిక్యూషన్ దుర్బలత్వం.
• తాజా PHP విడుదలలలో CVE-2026-115560 ప్యాచ్ చేయబడిందా? — లేదు, ప్రస్తుత బిల్డ్‌లలో ఈ లోపం ఇంకా ప్యాచ్ చేయబడలేదు, మరియు PHP ప్రాజెక్ట్ తన తదుపరి సాధారణ విడుదల చక్రంలో అధికారిక పరిష్కారాన్ని అందించాలని యోచిస్తోంది.
• ప్రస్తుతానికి నిర్వాహకులు సర్వర్‌లను ఎలా రక్షించుకోవచ్చు? — నిర్వాహకులు session.upload_progress.enabled = 0 ను తమ php.ini ఫైళ్లలో సెట్ చేయాలి మరియు అన్ని PHP వర్కర్ సర్వీసులను రీస్టార్ట్ చేయాలి.
• upload progress ను నిలిపివేయడం వినియోగదారులు ఫైళ్లను అప్‌లోడ్ చేయకుండా అడ్డుకుంటుందా? — లేదు, HTTP POST ద్వారా సాధారణ ఫైల్ అప్‌లోడ్‌లు యథావిధిగా పనిచేస్తూనే ఉంటాయి; కేవలం PHP యొక్క అంతర్గత నిజ-సమయ సెషన్ ప్రోగ్రెస్ ట్రాకర్ మాత్రమే డిసేబుల్ చేయబడుతుంది.
• అక్టోబర్ 21 అత్యవసర అప్‌డేట్‌లను ఇన్‌స్టాల్ చేసిన సిస్టమ్‌లపై ఈ కొత్త లోపం ప్రభావం చూపుతుందా? — అవును, అక్టోబర్ 21 అప్‌డేట్‌లు మునుపటి PHP2Shell మెమరీ లోపాలను పరిష్కరించాయి, కానీ CVE-2026-115560 అనేది ప్రత్యేక సమస్య, దీనికి కాన్ఫిగరేషన్ నివారణ చర్యలు అవసరం.
• భద్రతా బృందాలు అక్టోబర్ 17 వరకు జరిగిన కార్యకలాపాలను ఎందుకు పరిశోధిస్తున్నాయి? — Amazon యొక్క MadPot నెట్‌వర్క్ నుండి వచ్చిన థ్రెట్ ఇంటెలిజెన్స్, సమాచారం బహిర్గతం కావడానికి నాలుగు రోజుల ముందే PHP2Shell ను లక్ష్యంగా చేసుకున్న దాడి ప్రయత్నాలను గమనించింది, దీనివల్ల పరిశీలించాల్సిన సమయ పరిధి పెరిగింది.
• CVE-2026-115560 ని దుర్వినియోగం చేయడానికి ఎలాంటి పరిస్థితులు అవసరం? — అప్లికేషన్ ప్రామాణికం కాని సీరియలైజేషన్ హ్యాండ్లర్‌తో ప్రారంభం కావాలి, దానిని php గా ini_set() ద్వారా మార్చాలి (దీనికి ముందు: session_start()), మరియు session upload progress ఎనేబుల్ చేయబడి ఉండాలి.

ట్యాగ్‌లు

#php #cve2026115560 #php2shell #cybersecurity #vulnerability #infosec #sysadmin #devops #websecurity #patchmanagement