> ## Content Index
> Fetch the complete content index at: https://www.yooku.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# PHP 又出幺蛾子：紧急补丁刚发两天，又警告一个未修复的 RCE 风险
- URL: https://www.yooku.com/php-you-chu-yao-e-zi-jin-ji-bu-ding-gang-fa-liang-tian-you-jing-gao-yi-ge-wei-xiu-fu-de-rce-feng-xian/
- Published: 2026-10-24T01:36:46.000Z
- Updated: 2026-10-24T01:36:46.000Z
- Author: Master

朋友们，PHP 团队这几天真是没闲着。

就在两天前（10 月 21 日），他们刚紧急发布了针对两个高危漏洞 **CVE-2026-109618** 和 **CVE-2026-109619**（合称 PHP2Shell）的补丁，修复了无需登录就能在服务器上执行代码的严重问题。结果今天（10 月 23 日），PHP 官方又发了一份简短的**信息性通告**，提醒大家还有另一个远程代码执行（RCE）风险还没补上。

这个新问题被编号为 **CVE-2026-115560**。

### 这次到底是怎么回事？

好消息是：这个漏洞**触发条件非常苛刻**，PHP 自己也认为实际被利用的可能性很低。

简单来说，只有当你的 Web 应用同时满足以下所有条件时，才可能中招：

1. 配置文件里把 `session.serialize_handler` 设成了 `php_binary` 或 `php_serialize`；
2. 运行过程中又用 `ini_set()` 把它改回了 `php`；
3. 并且这个修改发生在调用 `session_start()` **之前**；
4. 同时，**session upload progress** 功能还处于开启状态（默认就是开的）。

听起来是不是很绕？确实。正常应用基本不会在运行时去改 serialize handler，所以 PHP 判断这属于“不太可能出现的配置场景”。

正因为如此，他们**不打算发紧急补丁**，而是准备把修复放进下一次常规版本更新里。在那之前，官方给出的临时缓解措施很简单：

```ini
session.upload_progress.enabled = 0

```

一行配置搞定。而且这个设置其实在 10 月 21 日那次紧急通告里就已经被推荐过了——如果你当时已经关掉了，现在可以什么都不用做。

### 和之前的 PHP2Shell 漏洞有啥关系？

- 新漏洞和之前两个**不是一回事**，10 月 21 日的补丁（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）**盖不住**这个新问题。
- PHP 目前还没公布受影响版本范围、具体修复版本，也没给严重性评分，甚至没说明它和 CVE-2026-109619 是否同源。
- 目前**没有发现** CVE-2026-115560 被实际利用的报告。

### 真正热闹的还是之前那两个漏洞

虽然新漏洞暂时风平浪静，但 PHP2Shell 那两个漏洞的利用尝试已经炸锅了：

- Amazon 的蜜罐在 **10 月 17 日**（漏洞公开前 4 天）就抓到了针对这两个 CVE 的利用尝试。
- Cloudflare 数据显示：公开后 45 分钟内尝试从“几万次”暴涨到**数百万次**。
- 攻击者试图用它植入 Mirai 变种僵尸网络，但目前看来成功率不高——可靠的利用代码比想象中难写。多家安全厂商（Previdian、Wordfence 等）反馈目前主要是扫描和探测，**还没有确认成功的代码执行案例**。

### 现在该怎么办？

1. **立刻检查配置**  
确认是否开启了 `session.upload_progress`，建议暂时关掉，直到官方正式修复。
2. **确认你已经打了 10 月 21 日的紧急补丁**  
那两个 PHP2Shell 漏洞才是当前真正被疯狂扫描的对象。
3. **关注官方后续通告**  
PHP 表示会在下一次常规版本发布时给出完整的 CVE-2026-115560 安全公告。

总的来说，这次新警告更像是“以防万一”的提醒，而不是又一次紧急救火。真正需要紧张的，还是尽快把之前那两个高危漏洞补好，并盯紧服务器上的异常流量。

PHP 生态这几天有点热闹，大家且行且珍惜，及时更新吧。

**参考链接**

- PHP 官方通告：https://www.php.net/archive/2026.php#2026-10-23-1
- 10 月 21 日紧急补丁相关通告：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp