PHP2Shell風暴未平，PHP基金會再曝第三個待修補的RCE漏洞

背景與影響

自10月20日PHP2Shell漏洞（CVE-2026-109618與CVE-2026-109619）爆發以來，全球網站陸續進入緊急修補狀態，兩天後PHP基金會再發布公告，預告另有一個編號CVE-2026-115560的遠端程式碼執行漏洞尚待修補，為此次風暴再添變數。

根據10月23日發布的公告，此問題僅會在PHP採用一種不常見的組合設定時被觸發，包括session.serialize_handler設為php_binary或php_serialize、在呼叫session_start()前透過執行階段ini_set()切換該選項，且連線階段上傳進度功能須處於啟用狀態。由於觸發條件相當特殊，PHP基金會評估影響範圍有限，預計透過常規發布週期處理，並將於下個版本正式公布完整安全公告。

目前官方尚未說明受影響的PHP版本範圍、修補版本或嚴重程度評分，也未確認此漏洞是否與CVE-2026-109619共享相同根本原因。NVD與CVE等主要漏洞資料庫目前亦尚未收錄此編號的詳細資料，但資安廠商Fortinet已將其與前兩個PHP2Shell漏洞並列為同一組觀測目標，顯示業界已將其視為此波風暴的延伸風險。

由於台灣已有數萬個網站受到PHP2Shell漏洞風暴影響，其中包含政府機關網站，此次新增的第三個漏洞雖觸發條件罕見，仍建議相關網站管理人員提前檢視組態，避免後續修補時措手不及。

解決方案

• 立即檢查網站是否使用session.serialize_handler設為php_binary或php_serialize的組態。
• 暫時將session.upload_progress.enabled設為0，作為官方建議的緩解措施。
• 持續關注PHP基金會後續發布的正式安全公告與修補版本資訊。
• 比照此前PHP2Shell漏洞的應對方式，盤點所有PHP版本與伺服器組態，優先處理高風險系統。
• 與資安廠商的威脅情資保持同步，留意Fortinet等廠商對此漏洞群組的最新觀測。
• 若為政府或高曝險網站，建議在官方修補釋出前先行評估是否暫停相關功能或加強監控。