机构
PHP
PHP 项目在 php.net 发布的安全通告与版本归档说明。
本版条目
通告
PHP 信息性通告 CVE-2026-115560：会话上传进度在罕见 serialize_handler 切换组合下仍可能构成 RCE 路径，10 月 21 日紧急版未覆盖，建议保持关闭 upload_progress
PHP 项目于 10 月 23 日发布信息性说明（CVE-2026-115560）：在会话上传进度功能仍启用的前提下，若应用配置将 session.serialize_handler 设为 php_binary 或 php_serialize，又在 session_start() 前用 ini_set() 切回 php，可能触发一个「不太可能但存在」的远程代码执行向量；10 月 21 日紧急修复的 CVE-2026-109618/109619 并不覆盖该路径。项目建议在下一次常规 bugfix 发布前将 session.upload_progress.enabled=0（该缓解已在 CVE-2026-109619 通告中列出）；若已按 109619 关闭则无需额外操作。