חזרה למחברת
IT & Security2 דקות קריאה

עדכון נוסף של PHP: בדיקת מעקב העלאות לאחר תיקון האבטחה

הודעת 23 באוקטובר עוסקת בשילוב מסוים של הגדרות session ובצעד הגנה זמני.

מה השתנה

לאחר תיקוני 21 באוקטובר, PHP פרסם הודעה נפרדת עבור CVE-2026-115560. ההמלצה היא להשבית מעקב אחר התקדמות העלאות ב-session עד לגרסת תיקונים רגילה נוספת. ההודעה הזאת עדיין אינה מציינת גרסה מתוקנת.

למי זה רלוונטי

התנאי המסוים משלב מעקב העלאות עם מטפל session שמוגדר כ-php_binary או php_serialize, וקוד שמשנה אותו ל-php באמצעות ini_set() לפני session_start(). לפי PHP, יישומים שאינם משנים את המטפל בזמן ריצה יכולים להשאיר את התכונה פעילה.

מה לעשות

  • בדקו את ההגדרות שבהן משתמשים תהליכי השרת בפועל וחפשו בקוד שינוי של מטפל ה-session בזמן ריצה.
  • אם מיישמים את ההגדרה שלהלן, יש להחיל אותה בהגדרות השרת לפני עיבוד הבקשה ולהפעיל מחדש את כל תהליכי העבודה בתהליך הפריסה הרגיל. ini_set() בתוך היישום אינו מספיק.
  • שמרו גם על תיקוני 21 באוקטובר: 8.2.35, 8.3.36, 8.4.27 או 8.5.12, או תיקון שהספק אישר שהועבר לגרסה שלו. ההגדרה הזמנית אינה מחליפה אותם.

פקודות עזר

Temporary mitigation in the active server configuration
session.upload_progress.enabled = 0

איך לוודא שהטיפול הושלם

בדקו בסביבת בדיקות התחברות, שמירת session והעלאת קבצים. תעדו את הגדרות השרת הפעילות ואת החבילה שהותקנה. אם ההגנה כבר קיימת, השאירו אותה ובדקו את ההודעה הבאה של PHP לפני הסרתה.

מקורות רשמיים

מכאן לפרויקט שלכם

הורידו את הקבצים, שמרו את המדריך או תנו לעוזר הפיתוח תיאור משימה מוכן.

מכינים את הפרויקט עם AI

העתיקו את הפרומפט באנגלית לעוזר הפיתוח. הוא כולל את המאמר, הקבצים הזמינים ושלבי ההכנה.

הצגת פרומפט ההכנה
AI setup prompt · English
Read this news or bug-fix article as reference material:
https://nethanelfitoussi.com/article/php-upload-progress-october-2026?lang=en

Goal: apply the documented workflow to my development project.
Read the existing project instructions, inspect the relevant files and explain the smallest useful setup.

Use the article and its examples as references. Identify any missing project files before making changes.

If I have not supplied a project folder, ask which development project to use. Do not invent a repository URL.

Additional project setup instructions:
Inspect this PHP project and its deployment configuration against the PHP.net notices of 21 and 23 October 2026: https://www.php.net/archive/2026.php . Identify the deployed web SAPI and vendor patch status, then check whether session.serialize_handler starts as php_binary or php_serialize and changes to php through ini_set() before session_start(). Check whether upload progress is enabled. Do not treat the CLI configuration as proof of the web configuration. Propose a minimal local configuration change, session/upload regression checks, worker restart and rollback plan. Do not change production or expose phpinfo publicly. Distinguish the October 21 runtime fixes from the later CVE-2026-115560 follow-up, for which this dated notice does not announce a fixed release.

Check the dated advisory and current official vendor guidance. Identify whether my installed version and configuration are affected before proposing a fix.

Give me a short plan, then make the agreed local changes and run the relevant checks. Report actual results and anything not verified. Stop before credentials, paid services, production changes, push, merge or deployment.
The prompt
Inspect this PHP project and its deployment configuration against the PHP.net notices of 21 and 23 October 2026: https://www.php.net/archive/2026.php . Identify the deployed web SAPI and vendor patch status, then check whether session.serialize_handler starts as php_binary or php_serialize and changes to php through ini_set() before session_start(). Check whether upload progress is enabled. Do not treat the CLI configuration as proof of the web configuration. Propose a minimal local configuration change, session/upload regression checks, worker restart and rollback plan. Do not change production or expose phpinfo publicly. Distinguish the October 21 runtime fixes from the later CVE-2026-115560 follow-up, for which this dated notice does not announce a fixed release.
PHPSecuritySessionsCVE-2026-115560