PHP2Shell修補兩天後　PHP再公布新漏洞CVE-2026-115560、暫無修補版

PHP 在10月21日緊急修補重大漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）後兩天，10月23日又公布一個可能導致程式碼執行的新漏洞 CVE-2026-115560。PHP 官方表示，這個漏洞與 PHP2Shell 是不同的問題，10月21日釋出的 8.2.35、8.3.36、8.4.27 與 8.5.12 修補版本都沒有修到。

不過，PHP 官方也形容這個漏洞「實際上不太可能被觸發」，因為必須同時符合幾個條件：設定檔中的 session.serialize_handler 設為 php_binary 或 php_serialize；網站程式在執行時用 ini_set() 把它改成 php，而且是在呼叫 session_start() 之前；同時 session 上傳進度功能保持開啟。PHP 官方指出：「這個問題只會在不尋常的設定與應用程式碼組合下發生。」執行時從未變更序列化方式的網站，即使開著上傳進度功能，也不會因這條路徑受影響。

PHP 官方建議，在下一次例行修正版本釋出前，先把 session.upload_progress.enabled 設為0，關閉 session 上傳進度功能。這和先前針對 PHP2Shell 中 CVE-2026-109619 提出的緩解方式相同，已經照做的管理者不需要再採取其他行動；但要注意，PHP 預設是開啟這項功能的，關閉後若網站有用到上傳進度條，進度條會失效。

由於觸發條件少見，PHP 將透過例行發布週期修補，而不是再發布緊急更新，完整公告也會隨下一個版本一起公布，但目前尚未提供日期。PHP 也還沒確認受影響的版本、嚴重度評分，以及它是否和 CVE-2026-109619 有共同的根本原因。目前沒有攻擊這個新漏洞的報告。

PHP2Shell 的攻擊熱度則仍高。Cloudflare 表示，漏洞公開後45分鐘內就有數萬次攻擊嘗試，2小時內達數十萬次，到10月22日已達數百萬次。資安專家提醒，管理者應先確認 PHP 已升級到修補版本並重新啟動，再一併關閉 session 上傳進度功能，同時處理兩個風險。

管理者該做的事

• 先確認 PHP 已升級到 8.5.12、8.4.27、8.3.36 或 8.2.35，修補 PHP2Shell
• 在 php.ini、FPM pool 或伺服器設定中把 session.upload_progress.enabled 設為0，不要只靠 ini_set() 或 .user.ini
• 修改後重新啟動所有 PHP 程序
• 檢查網站程式是否在執行時變更 session.serialize_handler
• 留意 PHP 下一次例行版本的發布，屆時再套用正式修補

相關報導：PHP重大漏洞「PHP2Shell」風險升高　ALION推出緊急資安修補服務

資料來源

• Security Affairs：PHP warns of new code execution flaw days after PHP2Shell patches
• The Hacker News：PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches
• PHP 官方新聞與安全公告

本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合PHP 官方公告、資安業者分析、主機商公告及國內外媒體報導整理，資訊更新至2026年10月24日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。