PHP公式のニュースによると、問題が起きるのは特殊な設定とコードの組み合わせに限られる。設定でsession.serialize_handlerをphp_binaryまたはphp_serializeにしたうえで、session_start()の前にini_set()で実行時にphpへ切り替え、なおかつセッションのアップロード進捗機能が有効になっている場合に該当する。発生しにくい構成のため、緊急リリースではなく次の定期リリースで修正し、完全なアドバイザリもその際に公開する。緩和策のsession.upload_progress.enabled=0は、php_admin_valueなど管理者レベルの設定で指定し、ワーカーを再起動して反映する。この設定は、8.5.12、8.4.27、8.3.36、8.2.35で修正されたphp2shell（CVE-2026-109618、CVE-2026-109619、CVSS 9.2）のうちCVE-2026-109619の緩和策としてもすでに案内されていた。php2shellについてはFBI、NSA、Cloudflareが悪用の急増を警告している。Red HatもRHSB-2026-013として解説を出している。
PHP、未修正のRCE経路CVE-2026-115560で注意喚起 次の定期リリースまでsession.upload_progress.enabled=0を推奨
## POINTS
- シリアライズハンドラを実行時にphpへ切り替える特殊な構成でのみ発生するRCE経路
- 修正は次の定期リリースで提供、それまではsession.upload_progress.enabled=0を推奨
- php2shellの緩和策と同じ設定で、適用済みならそのまま維持でよい