AI 摘要
- PHP 團隊於 10 月 23 日揭露 CVSS v4.0 評分 9.2 的 RCE 漏洞 CVE-2026-115560，攻擊者可在 Web 伺服器上執行任意程式碼。
- 日前推出的 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35 並未包含 CVE-2026-115560 的修正。
- 官方建議在修補釋出前，於 php.ini 設定 session.upload_progress.enabled = 0 關閉 Session 上傳進度功能。
PHP 官方針對「PHP2Shell」重大漏洞發布緊急安全更新後僅僅兩天，開發團隊於 10 月 23 日又再發現一個 CVSS v4.0 評分高達 9.2 的遠端程式碼執行（RCE）重大漏洞，漏洞識別碼為 CVE-2026-115560。該漏洞允許攻擊者在 Web 伺服器上執行任意程式碼，在官方釋出修復更新之前，PHP 團隊建議系統管理員立即修改 php.ini，關閉「Session 上傳進度」（Session Upload Progress）功能。
與前一波修補無關 既有安全版本未含修正
PHP 官方指出，本次新揭露的 CVE-2026-115560 與日前修復的漏洞屬於不同問題。日前推出的安全版本，包括 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，並未包含此問題的修正，意味著已完成升級的站台仍暴露在風險之中。
觸發條件：php_binary 或 php_serialize 加上動態 ini_set()
漏洞觸發有明確的設定前提。當伺服器在 php.ini 內的 session.serialize_handler 設定為 php_binary 或 php_serialize，並且系統預設開啟的「Session 上傳進度」功能維持啟用時，一旦 PHP 呼叫 ini_set() 函式將該選項動態變更為 php，攻擊者就能利用該漏洞在 Web 伺服器上執行任意程式碼。
官方緩解措施：一行設定關閉上傳進度
在尚未取得修補更新的空窗期，PHP 團隊建議管理員直接在 php.ini 設定檔中關閉相關功能：
session.upload_progress.enabled = 0「Session 上傳進度」的主要用途，是讓應用程式在伺服器端追蹤檔案上傳的即時進度，在 PHP 預設環境中為開啟狀態。管理員應主動檢查 php.ini 設定，確認此選項已停用，防止漏洞被黑客利用。
PHP2Shell 攻擊活動正急遽擴大
除了這個 9.2 分的新漏洞，日前揭發的兩大 PHP2Shell 重大漏洞（CVE-2026-109618 與 CVE-2026-109619）其攻擊活動也正在快速升溫：
- 亞馬遜（Amazon）蜜罐系統回報，早在官方公開漏洞前的 10 月 17 日，就已攔截到針對該漏洞的攻擊嘗試。
- Cloudflare 監控數據顯示，在 10 月 21 日漏洞被提早披露後的 45 分鐘內，攻擊嘗試便達到數萬次。
- 到了 10 月 22 日清晨，攻擊量更暴增至數百萬次規模。
- 黑客集團更積極嘗試利用這兩項漏洞，植入 Mirai 殭屍網絡（Botnet）變種。
新舊漏洞與官方處置方式對照
| 漏洞識別碼 | CVSS v4.0 評分 | 漏洞類型 | 是否已納入 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 | 官方建議處置 |
|---|---|---|---|---|
| CVE-2026-115560 | 9.2 | RCE，與 Session 上傳進度相關 | 否 | 於 php.ini 設定 session.upload_progress.enabled = 0 |
| CVE-2026-109618 | 來源未提供 | PHP2Shell 重大漏洞 | 是 | 升級至最新修復版本 |
| CVE-2026-109619 | 來源未提供 | PHP2Shell 重大漏洞 | 是 | 升級至最新修復版本 |
資安專家強烈呼籲各大企業與網站維護團隊，應立即將 PHP 升級至最新發布的修復版本，並檢查伺服器的 php.ini 配置，以防禦持續升溫的自動化攻擊浪潮。
Reference Link : hkepc.com
