通告
PHP 信息性通告 CVE-2026-115560：会话上传进度在罕见 serialize_handler 切换组合下仍可能构成 RCE 路径，10 月 21 日紧急版未覆盖，建议保持关闭 upload_progress
PHP 项目于 10 月 23 日发布信息性说明（CVE-2026-115560）：在会话上传进度功能仍启用的前提下，若应用配置将 session.serialize_handler 设为 php_binary 或 php_serialize，又在 session_start() 前用 ini_set() 切回 php，可能触发一个「不太可能但存在」的远程代码执行向量；10 月 21 日紧急修复的 CVE-2026-109618/109619 并不覆盖该路径。项目建议在下一次常规 bugfix 发布前将 session.upload_progress.enabled=0（该缓解已在 CVE-2026-109619 通告中列出）；若已按 109619 关闭则无需额外操作。从不在运行时改 serialize_handler 的应用可继续启用该功能；完整公告将随下一次正式版本发布。
跟你的关系已按 php2shell 紧急版升级的团队仍应确认上传进度已关闭或应用未在运行时切换 serialize_handler，避免误以为「已打 10-21 补丁即闭环」。
活动
PHP 信息性说明发布于 2026-10-23；关联紧急修复为 10-21。
- 状态
- 已公开
- 行业
- 信息技术、专业服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
PHP · 事件调查报告 · 最先提出