次の定期的なバグ修正リリースまで、`session.upload_progress.enabled=0` を設定することを推奨します。これにより、非常に低い可能性ですが、リモートコード実行の脆弱性から完全に保護できます。この設定は、2026年10月21日に公開された、CVE-2026-109619に関するGHSA-6wmf-4rv5-p3rpのセキュリティアドバイザリーで、すでに軽減策としてリストされていました。もしその時に設定したのであれば、そのままにしておき、追加の操作は必要ありません。
この問題が発生するのは、設定とアプリケーションコードの非常に特殊な組み合わせの場合に限られます。アプリケーションは、設定ファイルで`session.serialize_handler`を`php_binary`または`php_serialize`に設定し、その後、`ini_set()`を使用して実行時に`php`に切り替える必要があります。これは、`session_start()`を呼び出す前に実行される必要があります。また、セッションのアップロード進捗機能も有効になっている必要があります。実行時にシリアライズハンドラを変更しないアプリケーションは、この機能を有効にしたままにすることができます。この構成は実際には起こりにくいと考えられますので、通常のリリースのサイクルで対応し、次のリリースでCVE-2026-115560に関する詳細なセキュリティアドバイザリーを公開する予定です。