PHP 昨日揭露新漏洞 CVE-2026-115560。官方說要三個條件同時成立才會中，預設設定不符合；但目前還沒有修補版，尚未關掉 session 上傳進度的站長，建議現在補上。
（前情提要：OpenAI GPT‑5.6 Sol 揪出 PHP 重大漏洞！影響約七成網站、砸 10 億美元補貼防守端）
（背景補充：OpenAI 開源 php2shell 版本檢查器：Codex 技能一鍵比對 PHP 版本，但「OK」不代表真安全）
這次 PHP 在 10 月 24 日揭露的新漏洞 CVE-2026-115560，和兩天前的 PHP2Shell 不在同一個等級。PHP 官方自己形容這是「不太可能發生的遠端執行程式碼（RCE）路徑」，要三個條件同時成立才會中，目前也沒有給出嚴重度分數。
要留意的是，官方還沒有發布修補版。因為這種組合在實務上不常見，官方決定走一般發版流程，修補和完整公告都會跟著下一個例行修正版一起發布，官方還沒給日期。
我的網站會中嗎？
PHP 官方在公告中指出，這個問題僅在特殊的「設定加程式寫法」組合下才會出現，三個條件缺一不可。
第一，網站的設定檔把 session.serialize_handler 設成 php_binary 或 php_serialize
第二，程式在執行中用 ini_set() 把它切回 php，而且發生在呼叫 session_start() 之前
第三，session 上傳進度（session upload progress）功能還開著，這是 PHP 用來追蹤檔案上傳、讓網頁畫出進度條的功能。
PHP 手冊寫明，session.serialize_handler 的預設值就是 php，所以預設設定本身不符合第一個條件。官方也指出，從不在執行中切換這項設定的網站，可以繼續開著上傳進度。
換句話說，沒有在程式裡切換 session 格式的網站不會中。不過公告沒有列出受影響的版本，也沒有說 10 月 21 日發布的 8.5.12、8.4.27、8.3.36、8.2.35 有沒有處理到這個問題，所以別因為已經更新就覺得高枕無憂。
我該做什麼？
已經照 10 月 21 日的 GitHub 安全公告 GHSA-6wmf-4rv5-p3rp（對應 CVE-2026-109619）關掉上傳進度的網站，維持原狀即可，官方明說不用再做任何事。
還沒關的，建議把 session.upload_progress.enabled=0 寫進 php.ini、PHP-FPM 的 pool 設定，或是在處理請求之前就會生效的伺服器設定，然後重啟所有 PHP worker。這裡有個容易踩的坑：在程式裡用 ini_set()，或是放在 .user.ini，都關不掉。另外，關掉之後，靠 session 讀取進度的上傳頁面會失效，所以有上傳進度條的網站，改完要實際測一次上傳表單。
接下來就是等下一個例行修正版。官方沒說哪天，PHP 8.5 今年的例行版大約每 4 週一版，可以當作心裡的大概節奏，但這不是官方承諾。在那之前，關閉上傳進度就是官方目前建議的做法，即使手上的 PHP 已經是 10 月 21 日的版本，也建議照做。
有人被攻擊了嗎？
10 月 21 日的公告就提醒過，上傳進度是「很少人用、很少人測」的功能，建議用不到就關，就算更新完也一樣。PHP 手冊本來也建議，不使用上傳進度條的程式應考慮把它關掉。兩天後就冒出新的 CVE，算是應驗了這個提醒。
至於有沒有人被攻擊：截至 10 月 24 日，官方公告沒有提到遭利用，美國 CISA 在 10 月 24 日更新的已遭利用漏洞清單也沒有列入這個 CVE。
新的 CVE 編號不等於又一場大災難，官方給的定調是低機率，慌張並沒有幫助。但「用不到的功能就關掉」是成本很低的保險，改一行設定、測一次上傳頁，比之後追著新公告跑更划算。同時管理好幾個網站的人，建議一次把每個站的設定盤點完，避免有漏網的。
等官方補上分數、受影響版本和修補版，再依實際內容調整也不遲。
📍相關報導📍
PHP、Node.js 連爆嚴重漏洞：最近上網要注意這 5 件事自保
