PHP 在 10 月 21 日緊急修補兩項嚴重漏洞後，安全團隊於 10 月 23 日再披露另一個可能導致遠端執行程式碼（RCE）的漏洞，編號 CVE-2026-115560。由於攻擊必須同時符合多項罕見設定及程式碼條件，官方決定留待下一次例行版本更新才修補，並建議網站管理員暫時關閉 Session 上傳進度追蹤功能。
Session 設定與程式碼 必須同時符合罕見條件
根據 PHP 官方公告，受影響應用程式必須先在系統設定中把 `session.serialize_handler` 設為 `php_binary` 或 `php_serialize`，之後又在執行期間、呼叫 `session_start()` 之前，透過 `ini_set()` 將設定改成 `php`，同時維持 Session upload progress 功能開啟，才會出現這個攻擊途徑。
換言之，單是網站使用 PHP 或啟用 Session 上傳進度追蹤，並不足以構成這次漏洞的完整觸發條件。PHP 官方指出，從不在執行期間切換 Session 序列化處理方式的應用程式，可以繼續啟用該功能。
PHP Foundation 執行董事 Elizabeth Barron 向《The Register》表示，相關設定及程式碼組合極不尋常，預料實際 PHP 應用很少出現，因此現階段只發布資訊性公告。CVE-2026-115560 的完整技術公告及修補版本，將在下次例行更新時一併公布。
官方建議先關閉上傳進度功能 已採取措施可維持原設定
在正式修補推出前，PHP 官方建議將 `session.upload_progress.enabled=0`，暫停 Session 上傳進度追蹤，以阻截這次已知的攻擊途徑。同一設定亦是 10 月 21 日另一漏洞 CVE-2026-109619 的臨時緩解措施，早前已套用並保持關閉的網站，毋須為第三個漏洞重複採取行動。
網站管理員如決定修改設定，應在 `php.ini` 或 PHP-FPM／伺服器層級設定，並確保變更在處理請求之前生效及重新啟動相關 PHP 工作程序。這是 PHP 對先前 Session 攻擊途徑的緩解指引；單靠應用程式執行期間的 `ini_set()`，不足以確保請求處理前已關閉相關功能。管理員亦應檢查網站有否依賴上傳進度追蹤，以免改動影響現有功能。
之前兩項高危漏洞仍須更新 WordPress 用戶要檢查 PHP 版本
需要分清的是，第三個漏洞風險較受限制，不代表 10 月 21 日的兩項漏洞已可忽略。CVE-2026-109618 及 CVE-2026-109619 的 CVSS v4.0 評分均為 9.2 分，可在特定條件下造成毋須登入的遠端程式碼執行。PHP 已推出 8.5.12、8.4.27、8.3.36 及 8.2.35 修補版本；官方明言，針對這兩項漏洞，臨時緩解措施不能完全取代更新。
WordPress 官方亦提醒網站管理員，先前兩項漏洞存在於 PHP 執行環境，而非 WordPress 本身，毋須等待 WordPress 推出相應核心更新。管理員可在 WordPress 後台「工具」的「網站健康狀態」內查看伺服器 PHP 版本，並向寄存服務供應商確認是否已套用修補。部分 Linux 發行版及長期支援供應商會將修補程式移植回舊版套件，因此亦應核對供應商的修補公告，不能單憑版本字串判斷是否安全。
資料來源：PHP 官方 10 月 23 日公告、PHP 官方 10 月 21 日安全公告、The Register、WordPress 官方
