PHP 团队发布未修复 RCE 漏洞缓解措施
PHP 安全团队建议在补丁发布前将 session.upload_progress.enabled 设为 0，以缓解 CVE-2026-115560 的风险。
PHP 安全团队针对远程代码执行漏洞 CVE-2026-115560 发布了缓解措施，该漏洞目前尚无补丁。据 bleepingcomputer.com 报道，团队表示完整的安全公告将随下一个版本一同发布。
根据 PHP 团队的说法，该漏洞仅在特定配置下可被利用：系统需将 session.serialize_handler 设为 php_binary 或 php_serialize，并在调用 session_start() 之前通过 ini_set() 在运行时切换为 php，同时启用 session 上传进度功能。
在补丁推出之前，PHP 开发者建议将 session.upload_progress.enabled 设为 0。
与此同时，PHP 安全团队于星期三修复了统称为 PHP2Shell 的漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619。亚马逊威胁情报研究人员表示，攻击者在补丁发布前四天就已开始针对这些漏洞展开活动。
多家网络安全公司在漏洞公开披露前检测到了未成功的利用尝试。Dataminr 的 TRACE 团队在星期四发布的报告中称，相关活动仅限于扫描、指纹识别和无效的利用代码，目前尚无已知的入侵事件。
快速问答
CVE-2026-115560 有补丁吗？
目前没有。PHP 安全团队表示完整公告将随下一个版本发布，在此之前建议将 session.upload_progress.enabled 设为 0。
PHP2Shell 漏洞是什么？
PHP2Shell 是 PHP 安全团队于星期三修复的两个严重远程代码执行漏洞的统称，编号为 CVE-2026-109618 和 CVE-2026-109619。
PHP2Shell 漏洞是否已被实际利用？
Dataminr 的 TRACE 团队表示，目前观测到的活动仅限于扫描、指纹识别和无效的利用尝试，尚无已知的入侵事件。