PHP güvenlik ekibi Cuma günü yayımladığı danışma belgesinde, CVE-2026-115560 numaralı uzaktan kod çalıştırma (RCE) açığının yalnızca session.serialize_handler ayarının çalışma anında php_binary veya php_serialize'dan php'ye değiştirildiği ve session.upload_progress etkin olduğu nadir yapılandırmalarda işlenebildiğini açıkladı.
Ekip bu senaryonun pratikte pek görülmediğini belirterek, tam güvenlik yamasını bir sonraki planlı sürümle yayınlayacağını duyurdu.
Geçici çözüm olarak session.upload_progress.enabled=0 ayarının yapılmasını önerdi ve bu önlemin daha önce PHP2Shell (CVE-2026-109618 ve CVE-2026-109619) açıkları için de geçerli olduğunu hatırlattı.