PHP 再現潛在 RCE：先升級兩項高危修補，再核查 Session 設定

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-25

PHP 網站管理員現時要處理的是兩個不同層次的風險：10 月 21 日公布的兩項高危漏洞已有安全版本可安裝；10 月 23 日公布的第三項潛在遠端程式碼執行（RCE）漏洞則仍待例行更新處理。對香港的企業網站、電商平台及主機服務用戶而言，升級前兩項漏洞應是首要工作，同時核查 Session 相關設定。

TechNews 科技新報報道，CVE-2026-109618 與 CVE-2026-109619 的 CVSS v4.0 評分均為 9.2，未經身分驗證的攻擊者可能藉此遠端執行惡意程式碼。PHP 已發布 8.5.12、8.4.27、8.3.36 及 8.2.35 作安全更新；仍在相應分支的站點，應先確認 production server 實際運行版本，並按既有變更流程完成升級與回歸測試。

第三項漏洞毋須渲染成所有站點都可直接受攻擊

新披露的 CVE-2026-115560 同樣涉及潛在 RCE，但觸發門檻明顯更窄。TechNews 科技新報指出，受影響情況必須同時符合以下條件：

session.serialize_handler 原先設為 php_binary 或 php_serialize；
app 在呼叫 session_start() 前，以 ini_set() 將該設定動態改為 php；
已啟用 Session upload progress。

PHP 基金會表示，若程式沒有在運行期間切換 Session 序列化處理方式，便不會受這條特定攻擊途徑影響。基金會執行董事 Elizabeth Barron 亦指，相關組合與程式寫法相當罕見，因此不另發緊急更新，改於下一次例行版本更新修正。

這不代表可以忽略問題，但風險處理應與已修補的兩項高危漏洞分開排序：前者可直接透過升級處理；後者則應以設定核查和臨時緩解為主。TechNews 科技新報所載資料顯示，第三項漏洞的完整影響版本、嚴重度評分及正式修補版本尚未公布，現階段不宜自行推定所有 PHP 版本或所有網站均受影響。

管理員可先做的三項核查

第一，確認 PHP 版本已納入上述安全版本範圍，特別是對外提供登入、付款、上傳或會員功能的網站。第二，在程式碼及部署設定中搜尋 session.serialize_handler、ini_set() 與 session_start() 的使用方式，找出有否於 Session 啟動前動態改寫序列化處理器。第三，檢查 session.upload_progress.enabled；官方建議將其設為 0，關閉 Session 上傳進度追蹤功能，以降低 CVE-2026-115560 的風險。這項做法亦是先前 CVE-2026-109619 的暫時緩解措施。

對電商與內容平台來說，關閉上傳進度追蹤可能影響上傳流程的進度顯示或相關功能，因此部署前應確認 app 是否依賴該功能。若過去已按官方建議關閉，TechNews 科技新報指出，現階段毋須因這次新漏洞額外改動設定。

下一步要留意 PHP 在例行更新時補充的正式安全公告，尤其是 CVE-2026-115560 的受影響版本與修補版本。在此之前，將版本管理、Session 設定與程式內動態設定分開盤點，會比把第三項漏洞一概視為全面緊急事故更實際。