De makers van PHP raden aan om naast het patchen van de recente bugs ook een mitigatie door te voeren. Volgens de makers is het in zeldzame gevallen alsnog mogelijk dat een aanvaller de bug uitbuit. Dat is echter dermate ingewikkeld dat PHP dat pas tijdens een komende release officieel aanpast.
De ontwikkelaars achter programmeertaal PHP schrijven dat in een nieuwe advisory. Er zit een potentiële remote code execution-kwetsbaarheid in PHP, die zelfs na de recente bugfixes nog niet helemaal verdwenen is.
Om dat risico te beperken raadt PHP aan om session.upload_progress.enabled=0 in te stellen. Dat was al een mitigatie die PHP voorstelde bij CVE-2026-109619, maar de makers raden ook na het patchen daarvan aan die mitigatie door te voeren.
In 'een ongebruikelijke combinatie van configuratie- en applicatiecode' kan de kwetsbaarheid alsnog worden uitgebuit. De makers zeggen dat daarvoor bepaalde configuraties moeten worden ingesteld, maar dat geldt alleen voor applicaties waarin de serialize-handler niet tijdens runtime wordt veranderd. "Aangezien deze set-up in de praktijk onwaarschijnlijk is, behandelen we dit tijdens een normale releasecyclus", zeggen de ontwikkelaars.
Het nieuwe probleem is dus gerelateerd aan een van de twee bugs die eerder deze week voor problemen zorgden. Door die bugs haalden veel diensten hun websites preventief offline. Ook Tweakers deed dat. Tweakers schreef daarna een achtergrondverhaal over de bug en een tijdlijn.
Source: Tweakers.net