才剛於 10 月 21 日針對「PHP2Shell」緊急釋出安全更新的 PHP 官方團隊，僅隔兩天便於 2026 年 10 月 23 日再度發布最新資訊通告（Informational Advisory），揭露另一起尚未正式修補的潛在遠端程式碼執行（RCE）風險漏洞，編號為 CVE-2026-115560。這項缺陷是獨立於先前兩個緊急修補漏洞之外的全新問題，意味著日前剛升級至安全版（如 8.5.12、8.4.27、8.3.36、8.2.35）的環境，仍可能在特定條件下面臨威脅，官方因此發布緊急防護指引，提醒全球網站管理者檢視並採取預防措施。
對於一般大眾與維運團隊而言，值得安心的是本次漏洞的觸發門檻相當嚴苛。根據官方分析，攻擊者若要觸發該漏洞，系統必須同時滿足多項極為不尋常的環境與程式碼組合：伺服器組態原本將 Session 序列化處理器（session.serialize_handler）設定為 php_binary 或 php_serialize，但在程式執行階段又透過 ini_set() 臨時切換為 php，隨後才呼叫 session_start()，且同時保持了「Session 上傳進度」功能開啟。由於絕大多數現代網站與常見框架都不會採取這種異常寫法，實務上被成功利用的機率極低，目前全球亦無傳出攻擊事件；這也是 PHP 官方未再次中斷排程發布緊急修補，而是規劃在下一輪常態性維護版本（Regular Bugfix Release）才正式修復的主因。
| 發布日期 | 漏洞編號 | 影響層級與觸發條件 | 處置方針與安全建議 |
|---|---|---|---|
| 2026 年 10 月 21 日 | CVE-2026-109618 CVE-2026-109619 （PHP2Shell） |
極高危險（CVSS 9.2） 底層記憶體解析異常，未經驗證之任意請求即可在進入應用程式碼前攻破伺服器 |
必須強制升級： 立即升級至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，配置調整僅能輔助無法完全免疫 |
| 2026 年 10 月 23 日 | CVE-2026-115560 | 中低風險（未有攻擊報告） Session 上傳進度與動態切換序列化格式產生衝突，條件極端且不常見 |
暫行關閉功能防範： 等待常規修補版本釋出，當前透過關閉 Session 上傳進度即可完全阻擋利用鏈 |
面對尚未釋出官方修補程式的 CVE-2026-115560，官方給出了立竿見影的緩解方案：只需在全域 php.ini、PHP-FPM Pool 或伺服器核心配置中加入一行設定，關閉極少被實際應用的 Session 上傳進度監控即可完全免疫：
session.upload_progress.enabled = 0值得注意的是，若網站管理員在 10 月 21 日應對前一波 PHP2Shell 危機時，就已依循 CVE-2026-109619 的緩解指引將此參數關閉，那麼伺服器當前已經具備完整防護力，無須進行任何重複更動；但若網站先前僅依賴軟體套件版本升級、未主動調整設定檔，則建議儘速補上此組態並重啟 PHP Worker，確保在下一版常態修復釋出前滴水不漏。
《上一篇》PHP：官方緊急發布最高危險等級漏洞，呼籲全球網站伺服器立即修補升級 
《下一篇》Flarum：從 v1.8.20 到 v2.0.2 跨版本升級實戰與心得分享 
留言區 / Comments
萌芽論壇