Исследователи раскрыли уязвимость CVE-2026-115560 в механизме обработки PHP-сессий. Её оценка — 8,1 балла по CVSS. Ошибка связана с несоответствием форматов сериализации данных и при определённых условиях позволяет атакующему внедрять PHP-объекты без авторизации. Для эксплуатации необходимо сочетание трёх условий: • session.serialize_handler настроен на php_binary или php_serialize. • Приложение переключает обработчик на php перед session_start(). • Включён механизм отслеживания загрузки файлов через сессии. При наличии подходящих классов в приложении Object Injection может привести к удалённому выполнению кода (RCE). Исследователи опубликовали PoC, демонстрирующий цепочку атаки. Временная защита: отключить session.upload_progress.enabled в конфигурации сервера и перезапустить PHP-процессы. Уязвимы не все PHP-приложения, а только системы с указанным сочетанием настроек.