PHP 兩項高危漏洞已修補，第三項風險待例行更新處理
PHP Foundation 在 10 月 21 日釋出安全更新，處理兩項可讓未經驗證攻擊者遙距執行程式碼的漏洞：CVE-2026-109618 及 CVE-2026-109619。兩者 CVSS v4.0 評分同為 9.2，使用 PHP 的網站、電商平台及內部系統，首要工作仍是核對執行環境是否已更新至已修補版本。
兩日後，PHP Foundation 再披露 CVE-2026-115560，亦涉及遙距執行程式碼風險。不過，TechNews 科技新報 報道指出，官方認為此問題要在很不常見的設定與程式寫法同時出現才可觸發，故不會另行推出緊急修補，將安排在下一輪例行版本更新處理。現時官方尚未公布這個漏洞的完整受影響版本、CVSS 評分及正式修補版本。
這個分別很重要：第三項漏洞不代表每個 PHP 網站都可被直接攻擊，但也不應令團隊延後處理前兩項已有安全版本的高危漏洞。就來源所載資料，未見已確認的實際利用情況；管理員宜以版本與設定盤點為先，而非把三項問題視為同一類、同一緊急程度的事件。
先核對已修補版本
TechNews 科技新報 報道指，PHP Foundation 已為前兩項漏洞發布以下安全版本：
| PHP 分支 | 已修補版本 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
網站管理員應確認實際運行 PHP 的環境已升級至對應版本，特別是多 server、容器化部署，或把 PHP 執行環境與網站程式碼分開管理的系統。只更新專案依賴或只改動其中一台機器，都未必代表整個服務已完成修補。
第三項漏洞的設定條件與暫時緩解
據 TechNews 科技新報 報道，CVE-2026-115560 的特定攻擊途徑，須同時符合以下條件：
session.serialize_handler原先設為php_binary或php_serialize；- 程式在呼叫
session_start()前，以ini_set()把這項設定改為php； - 已啟用 Session upload progress 功能。
PHP Foundation 表示，如應用程式不會在執行期間動態改變 Session 序列化處理方式，便不會受這條特定途徑影響。這代表團隊要看的不只是 php.ini 的靜態設定，也要檢查框架設定、共用初始化程式，以及是否存在以 ini_set() 改寫 Session 行為的程式碼。
在正式修補推出前，官方建議把 session.upload_progress.enabled 設為 0，關閉 Session 上傳進度追蹤功能。這同時是 CVE-2026-109619 公告曾提出的暫時緩解措施。若團隊早前已按建議關閉該功能，按官方說法，毋須因這次新披露而另作額外設定變更。
關閉功能前亦應評估影響：如網站前端真的依賴上傳進度追蹤，相關體驗或功能流程可能受影響。較穩妥的做法是先在測試環境驗證，記錄設定變更及回復程序，並在 PHP 下一次例行更新公布安全公告後，再核對受影響版本與正式修補版本。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechNews 科技新報 — PHP 修補兩大安全漏洞才兩天，現在又爆出第三個 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
