PHP再揭待修RCE漏洞 罕見Session設定可觸發
PHP基金會在PHP2Shell相關修補推出後，再披露一項尚未修補的遠端程式碼執行（RCE）漏洞CVE-2026-115560。iThome報道指出，問題有可行緩解措施，但受影響版本、修補版本及嚴重度評分仍未公布；現階段不宜把它視為所有PHP網站均會即時受攻擊的漏洞。
對PHP開發者及網站管理員而言，重點在於核對Session配置與程式是否會在執行期間改動序列化處理方式。PHP基金會表示，暫時可將session.upload_progress.enabled設為0，關閉連線階段上載進度功能；這也是其早前為CVE-2026-109619提出的緩解做法。
觸發條件集中在少見配置組合
iThome報道引述PHP基金會說明，CVE-2026-115560須同時符合多項條件：
session.serialize_handler原先設為php_binary或php_serialize；- 程式在呼叫
session_start()前，以執行期間的ini_set()把該設定改為php； - Session上載進度功能處於啟用狀態。
基金會形容這類實際部署情況極為罕見，因此不會以緊急版本處理，而是放入正常版本發布週期，並在下一版本公布完整安全公告。
先查設定，別只等更新
這次披露對維運團隊的實際意義，是應把檢查範圍放在應用程式行為，不只看PHP版本。網站可先搜尋是否有在session_start()前呼叫ini_set()調整session.serialize_handler，再確認session.upload_progress.enabled的實際值及上載流程是否依賴該功能。
若無法立即完成程式審核，暫時將session.upload_progress.enabled設為0可降低已知風險面；不過，團隊應先在測試環境核對上載相關流程，並記錄這項臨時設定，避免日後修補後遺留不必要的功能限制。
與PHP2Shell的關係仍未釐清
iThome指出，PHP基金會尚未交代CVE-2026-115560是否與CVE-2026-109619有相同根本原因，NVD及CVE資料庫當時亦未收錄這個新編號的詳情。Fortinet則已把它與CVE-2026-109618、CVE-2026-109619一併列為觀測目標。
因此，較合理的做法是把它納入PHP2Shell事件後的配置盤點和更新計劃，而非憑漏洞名稱推斷影響範圍。下一步應留意PHP基金會隨新版本發布的安全公告，屆時再按確認的受影響版本與修補資訊安排升級。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — PHP2Shell漏洞修補釋出兩天後，PHP基金會警告還有一個待修補的遠端程式碼執行漏洞 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
