L3 · 拉裤子了PHP · RCE · 尚未修复php-session-upload-progress

紧急冲水后，还有一根罕见管道没堵上

PHP 披露尚未修复的会话上传进度 RCE，依赖罕见的序列化配置

CVE-2026-115560 是额外的 PHP RCE 风险：上传进度开启，且应用在 session_start() 前将配置中的 php_binary 或 php_serialize 切换为 php。应关闭上传进度，等待下次常规修复。

披露时间: 2026年10月23日; 公开披露日期
严重程度: 拉裤子了; 本页收录 1 个 CVE
波及范围: 上传进度开启，且在 session_start() 前用 ini_set() 将配置中的 php_binary/php_serialize 切换为 php; php
在野利用: 未知; PHP 的说明性公告未报告在野利用

发生了什么

这份公告独立于 10月21日已修复的两个 PHP2Shell 漏洞。PHP 认为所需配置在实践中很罕见，因此按较窄的暴露范围评为 L3。

此路径需要同时满足：会话上传进度开启，配置中的 session.serialize_handler 为 php_binary 或 php_serialize，应用又在 session_start() 前通过 ini_set() 将其切换为 php。

从不在运行时修改会话序列化处理器的应用，可以继续开启上传进度。完整的受影响版本范围、严重性评分和首个修复版本尚未公布。此前的 PHP2Shell 版本检查不能证明不受此问题影响。

CVE-2026-115560

需要上传进度开启，且在 session_start() 前将配置中的 php_binary/php_serialize 在运行时改为 php。

产品	安全版本	备注
PHP 会话上传进度	无修复	计划在下次常规修复版本中解决；尚未公布受影响版本范围

php.ini

session.upload_progress.enabled=0

在服务器配置中应用并重启 worker；此前为 PHP2Shell 关闭此功能的，应保持关闭。

我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。