PHP安全團隊於2026年10月23日公告CVE-2026-115560，指出特定Session設定與程式執行流程的組合可能導致遠端程式碼執行（RCE）。此問題不同於先前已發布修補更新的PHP2Shell漏洞，並非所有使用PHP Session的網站皆會受到影響。

 

【事件經過】

根據BleepingComputer報導及PHP官方說明，漏洞涉及Session資料序列化與檔案上傳進度功能的交互作用。

應用程式必須先將session.serialize_handler設定為php_binary或php_serialize，接著在呼叫session_start()之前，以ini_set()於執行期間切換為php格式，且Session上傳進度功能仍保持啟用，才會出現所述風險。

PHP安全團隊認為這類組態與程式碼組合較為少見，因此安排於例行修補週期處理，並先發布緩解建議。先前PHP2Shell的修補更新不應被視為已處理本項漏洞。

 

【影響範圍】

本次漏洞編號為CVE-2026-115560，可能造成遠端程式碼執行。

原始報導未提供完整受影響PHP版本、CVSS評分及已確認受害系統數量。實際適用性須由系統設定與應用程式流程共同判斷。

單純使用Session或檔案上傳功能，並不代表符合漏洞利用條件。依PHP官方說明，若應用程式從未在執行期間切換序列化處理器，可繼續使用Session上傳進度功能。

 

【建議措施】

在正式修補版本發布前，PHP官方建議於伺服器端設定session.upload_progress.enabled=0，以降低相關攻擊風險。

管理人員應檢查php.ini、PHP-FPM及網站伺服器設定，確認此項設定已套用於實際處理網頁請求的環境，不應只依賴應用程式執行期間才生效的設定變更。

同時，應檢查程式碼是否使用ini_set()變更session.serialize_handler，並確認session_start()的呼叫順序。

調整設定後，應重新啟動相關PHP程序，測試登入狀態、檔案上傳及進度顯示功能，並持續追蹤PHP官方修補公告。

若先前已依相關公告停用Session上傳進度功能，應確認設定仍維持有效。

 

【國內機關與企業之影響與因應】

原文未提供台灣受害案例，因此無法據此判定國內已發生相關攻擊事件。

使用PHP維運內部管理系統、文件交換平台或網站服務的機關與企業，可優先盤點是否使用動態Session序列化設定，並將檢查結果及例外原因納入維運紀錄。

此事件顯示，漏洞風險不僅取決於軟體版本，也可能來自特定組態與程式邏輯的交互作用。

若組織已採行組態基準（GCB），可將相關設定納入例行檢視，但仍須持續追蹤正式修補版本。

 

【新聞出處】

原文標題：PHP shares mitigation for new RCE vulnerability with no patch

媒體名稱：BleepingComputer

發布日期：2026年10月23日

原文網址：https://www.bleepingcomputer.com/news/security/php-shares-mitigation-for-new-and-unpatched-rce-vulnerability/

官方補充資料：PHP Informational advisory: Session upload progress

公告日期：2026年10月23日

官方網址：https://www.php.net/archive/2026.php#2026-10-23-1