A pochi giorni dal rilascio delle correzioni per le vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619, il PHP Security Team ha comunicato il 23 ottobre 2026 l’esistenza di un’ulteriore problematica nella gestione delle sessioni PHP.

La nuova vulnerabilità, identificata come CVE-2026-115560, potrebbe consentire l’esecuzione di codice da remoto (RCE), ma richiede una combinazione poco comune di configurazione del server e comportamento dell’applicazione.