重點整理
- 【新漏洞】PHP 10月23日公布 CVE-2026-115560，10月21日的修補版本沒有修到
- 【條件】只在少見的 session 設定與程式寫法組合下才會觸發
- 【解法】關閉 session.upload_progress.enabled，與 PHP2Shell 的緩解方式相同
PHP 在10月21日緊急修補重大漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）後兩天，10月23日又公布一個可能導致程式碼執行的新漏洞 CVE-2026-115560。PHP 官方表示，這個漏洞與 PHP2Shell 是不同的問題，10月21日釋出的 8.2.35、8.3.36、8.4.27 與 8.5.12 修補版本都沒有修到。
不過，PHP 官方也形容這個漏洞「實際上不太可能被觸發」，因為必須同時符合幾個條件：設定檔中的 session.serialize_handler 設為 php_binary 或 php_serialize；網站程式在執行時用 ini_set() 把它改成 php，而且是在呼叫 session_start() 之前；同時 session 上傳進度功能保持開啟。PHP 官方指出：「這個問題只會在不尋常的設定與應用程式碼組合下發生。」執行時從未變更序列化方式的網站，即使開著上傳進度功能，也不會因這條路徑受影響。
PHP 官方建議，在下一次例行修正版本釋出前，先把 session.upload_progress.enabled 設為0，關閉 session 上傳進度功能。這和先前針對 PHP2Shell 中 CVE-2026-109619 提出的緩解方式相同，已經照做的管理者不需要再採取其他行動；但要注意，PHP 預設是開啟這項功能的，關閉後若網站有用到上傳進度條，進度條會失效。
由於觸發條件少見，PHP 將透過例行發布週期修補，而不是再發布緊急更新，完整公告也會隨下一個版本一起公布，但目前尚未提供日期。PHP 也還沒確認受影響的版本、嚴重度評分，以及它是否和 CVE-2026-109619 有共同的根本原因。目前沒有攻擊這個新漏洞的報告。
PHP2Shell 的攻擊熱度則仍高。Cloudflare 表示，漏洞公開後45分鐘內就有數萬次攻擊嘗試，2小時內達數十萬次，到10月22日已達數百萬次。資安專家提醒，管理者應先確認 PHP 已升級到修補版本並重新啟動，再一併關閉 session 上傳進度功能，同時處理兩個風險。
管理者該做的事
- 先確認 PHP 已升級到 8.5.12、8.4.27、8.3.36 或 8.2.35，修補 PHP2Shell
- 在 php.ini、FPM pool 或伺服器設定中把 session.upload_progress.enabled 設為0，不要只靠 ini_set() 或 .user.ini
- 修改後重新啟動所有 PHP 程序
- 檢查網站程式是否在執行時變更 session.serialize_handler
- 留意 PHP 下一次例行版本的發布，屆時再套用正式修補
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
- Security Affairs：PHP warns of new code execution flaw days after PHP2Shell patches
- The Hacker News：PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches
- PHP 官方新聞與安全公告
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合PHP 官方公告、資安業者分析、主機商公告及國內外媒體報導整理，資訊更新至2026年10月24日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。