PHP爆出新RCE漏洞尚無修補程式,官方緊急提供暫時緩解措施

背景與影響

PHP安全團隊發布公告,說明一個編號CVE-2026-115560的新型遠端程式碼執行漏洞,觸發條件為系統將session.serialize_handler設為php_binary或php_serialize,又在執行階段用ini_set()切換為php,且同時啟用session upload progress功能,屬於非預設但仍可能存在於部分應用程式中的組合。

PHP是全球近七成網站使用的開發語言,據VirusTotal估計,網路上暴露的PHP主機超過510萬台,其中約380萬台至少開放一個可被攻擊的連接埠,顯示潛在受影響面相當龐大。

由於尚無正式修補程式,官方建議先行關閉session.upload_progress.enabled設定作為權宜之計,待下次例行發布版本時才會提供完整修補,並強調若已經設定過緩解措施則不需要再採取行動。

這起漏洞的揭露緊接在另外兩個已修補的重大RCE漏洞(合稱PHP2Shell)之後,多家資安廠商已觀測到攻擊者在漏洞公開前便開始嘗試利用,顯示攻擊者對PHP相關弱點的關注度極高,企業應提高警覺並儘速套用緩解設定。

解決方案

• 立即檢查系統是否將session.serialize_handler在執行階段動態切換為php,若有應優先處理。
• 暫時將session.upload_progress.enabled設定為0,以阻斷此漏洞的觸發路徑。
• 持續關注PHP官方公告,待正式修補程式釋出後盡速安裝更新。
• 盤點對外暴露的PHP主機與服務,確認是否存在不必要的開放連接埠。
• 強化WAF規則與入侵偵測,監控針對PHP應用的異常請求與掃描行為。
• 檢視近期PHP2Shell相關攻擊情資,確認系統未遭到先前漏洞的利用。