PHP : vérifier le suivi des téléversements après la mise à jour critique
L’avis du 23 octobre concerne une configuration particulière des sessions et une mesure temporaire à vérifier.
Ce qui change
Après les correctifs du 21 octobre, PHP a publié un avis distinct pour CVE-2026-115560. Il recommande de désactiver le suivi des téléversements de session jusqu’à la prochaine version corrective régulière. Cet avis ne donne pas encore de version corrigée.
Qui doit vérifier
Le cas précis combine le suivi des téléversements avec un gestionnaire configuré en php_binary ou php_serialize, puis changé en php par ini_set() avant session_start(). Selon PHP, une application qui ne change jamais ce gestionnaire à l’exécution peut garder la fonction activée.
Que faire
- Vérifiez la configuration réellement utilisée par les processus web et recherchez les changements de gestionnaire dans le code.
- Pour appliquer la mesure ci-dessous, utilisez la configuration serveur avant l’analyse des requêtes et redémarrez tous les processus par votre procédure habituelle. Un ini_set() dans l’application ne suffit pas.
- Conservez les correctifs du 21 octobre : 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou un rétroportage confirmé par votre fournisseur. Cette mesure ne les remplace pas.
Commandes de référence
session.upload_progress.enabled = 0Vérifier le résultat
Testez la connexion, la persistance des sessions et les téléversements en préproduction. Notez la configuration web active et le paquet installé. Gardez la mesure déjà appliquée et consultez la prochaine annonce PHP avant de la retirer.
Sources officielles
Passez à votre projet
Récupérez les fichiers, gardez le guide ou donnez un brief prêt à utiliser à votre assistant.
Préparer avec l’IA
Copiez ce prompt anglais dans votre assistant. Il inclut l’article, les fichiers disponibles et les étapes de préparation.
Voir le prompt de préparation
Read this news or bug-fix article as reference material:
https://nethanelfitoussi.com/article/php-upload-progress-october-2026?lang=en
Goal: apply the documented workflow to my development project.
Read the existing project instructions, inspect the relevant files and explain the smallest useful setup.
Use the article and its examples as references. Identify any missing project files before making changes.
If I have not supplied a project folder, ask which development project to use. Do not invent a repository URL.
Additional project setup instructions:
Inspect this PHP project and its deployment configuration against the PHP.net notices of 21 and 23 October 2026: https://www.php.net/archive/2026.php . Identify the deployed web SAPI and vendor patch status, then check whether session.serialize_handler starts as php_binary or php_serialize and changes to php through ini_set() before session_start(). Check whether upload progress is enabled. Do not treat the CLI configuration as proof of the web configuration. Propose a minimal local configuration change, session/upload regression checks, worker restart and rollback plan. Do not change production or expose phpinfo publicly. Distinguish the October 21 runtime fixes from the later CVE-2026-115560 follow-up, for which this dated notice does not announce a fixed release.
Check the dated advisory and current official vendor guidance. Identify whether my installed version and configuration are affected before proposing a fix.
Give me a short plan, then make the agreed local changes and run the relevant checks. Report actual results and anything not verified. Stop before credentials, paid services, production changes, push, merge or deployment.Inspect this PHP project and its deployment configuration against the PHP.net notices of 21 and 23 October 2026: https://www.php.net/archive/2026.php . Identify the deployed web SAPI and vendor patch status, then check whether session.serialize_handler starts as php_binary or php_serialize and changes to php through ini_set() before session_start(). Check whether upload progress is enabled. Do not treat the CLI configuration as proof of the web configuration. Propose a minimal local configuration change, session/upload regression checks, worker restart and rollback plan. Do not change production or expose phpinfo publicly. Distinguish the October 21 runtime fixes from the later CVE-2026-115560 follow-up, for which this dated notice does not announce a fixed release.
Pour continuer
LLM, RAG ou agent IA ? Comprendre les différences avec un cas pratique complet
Un guide approfondi pour comprendre ce qu’un modèle sait, ce que la recherche lui apporte et comment un agent utilise des outils. Suivez une demande événementielle, du conseil général au brouillon contrôlé, avec schémas, exemples, prompts anglais et projet à lancer.
Créer un RAG qui lit vos PDF avec n8n : le copilote exposant, pas à pas et en captures
Construisez un assistant qui croise programme, guide exposant et informations du lieu pour préparer une arrivée à un événement. Un tutoriel complet avec vraies captures n8n, PDF d’exemple, workflows importables, IA locale et vérification des sources.
Trier les dépendances vulnérables avec l’IA sans forcer toutes les mises à jour
Lire npm audit, distinguer gravité et accessibilité puis vérifier une correction compatible. Rapport fictif et cinq tests inclus.