KISA发布PHP远程代码执行漏洞CVE-2026-115560临时缓解建议

在PHP开发团队披露新的PHP远程代码执行漏洞CVE-2026-115560后，韩国互联网振兴院（KISA）于2026年10月24日发布了紧急临时缓解建议。该漏洞目前尚无官方补丁。

据bloter.net报道，该漏洞源于PHP处理会话的方式，攻击者可借此在服务器上执行任意命令或程序。仅同时满足两个条件的服务器会受影响：在运行时更改会话数据的存储方式，以及启用文件上传进度功能。

PHP开发团队未公布受影响的版本或已修复的版本，并计划在下一轮常规更新中发布正式补丁。

KISA建议管理员在php.ini或PHP-FPM配置中将session.upload_progress.enabled设置为0，并重启PHP工作进程。

KISA表示，该设置同样是此前对CVE-2026-109619漏洞的缓解措施之一，因此当时已禁用该功能的服务器无需再作额外操作。CVE-2026-109619于2026年10月21日被披露；2026年10月23日，PHP开发团队公布了针对CVE-2026-115560的临时应对方案。