如果您在 PHP2Shell 漏洞之后已把公司网站更新到 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，这样做是对的，但并不能覆盖一切。2026年10月23日，PHP 项目发布了一则新警告，涉及第三个漏洞 CVE-2026-115560，而10月21日的更新并未修复它。该漏洞需要不常见的配置，PHP 认为这是不太可能被利用的途径，但临时办法很简单：今天就请团队或主机服务商把 session.upload_progress.enabled 设为 0 并重启 PHP，然后书面确认10月21日的更新确实已经应用。

PHP 在10月23日宣布了什么？

紧急版本发布两天后，项目发布了一则简短的信息性警告，内容是会话中的「上传进度」跟踪功能，即向用户显示大文件已上传多少的功能。警告指出，这一功能在某种特定情况下可能打开远程执行代码的通道，修复将随下一个常规版本发布，而不是紧急更新，届时还会发布该漏洞的完整公告。

对企业主来说有两点重要。第一，这是一个独立的漏洞，所以仅仅运行上述四个版本之一还不够。第二，同样的临时措施早已写在10月21日关于 CVE-2026-109619 的公告中。如果您的团队当时已经采用，就不需要做任何新的事情：保持即可。

您的网站有风险吗？

根据 PHP 的警告，只有同时满足三个条件时才会出现问题：

  • PHP 配置把 session.serialize_handler 设为 php_binary 或 php_serialize。
  • 应用代码在会话开始前，于运行时用 ini_set() 把它切换为 php。
  • 会话上传进度跟踪仍处于开启状态，而默认就是开启的。

大多数网站不会这样做。问题在于，企业主很少知道多年前搭建的系统或旧插件里每一行代码在做什么。因此最稳妥的选择是：如果您的网站上传文件时不显示进度条，关闭这项功能不会破坏任何东西，还能把门关上。如果网站依赖它，请问开发人员代码是否会在运行时修改这项设置。

三天之后：确认10月21日的更新确实生效

最初的两个漏洞 CVE-2026-109618 和 CVE-2026-109619 仍是更大的风险。沙特国家网络安全局（NCA）为此发布了编号 2026-7949 的警报，美国机构 CISA 建议清点所有 PHP 系统，优先修补面向互联网的系统，无法立即修补的系统应下线。CISA 表示，截至发布时尚未发现成功的利用，但这并不意味着时间站在您这边。

很多人忽略的三点：

  • 要重启，而不是重新加载。Red Hat 的公告指出，配置修改需要重启 PHP 进程，仅重新加载是不够的。
  • Linux 服务器上的版本号可能不同。PHP 的公告说 Linux 发行版提前拿到了补丁，所以即使修复已经应用，您看到的版本号也可能不是 8.5.12 之类的数字。请主机服务商提供书面确认，而不只是一个版本号。Red Hat 指出 RHEL 8、9 和 10 都受影响。
  • PHP 的运行方式会改变风险。PHP 项目认为 Apache 上的 mod_php 风险最高，而 Red Hat 表示在默认的 PHP-FPM 下实际利用更难。更难不等于不可能，所以两种情况都需要更新。

今天发给主机服务商或团队的 5 个问题

  1. 我们每个网站和系统运行的是哪个 PHP 版本，是否包含2026年10月21日的修复？
  2. 更新后 PHP 进程是否已经重启，而不只是重新加载？
  3. 我们是否已把 session.upload_progress.enabled 设为 0？如果没有，我们真的需要这项功能吗？
  4. 我们网站的代码是否会在运行时修改 session.serialize_handler？
  5. 我们是否有网站还在用 8.1 或更早的版本？这些分支已不再受支持，受支持版本表显示 8.2 的安全支持将于2026年12月31日结束。

Origami 的看法

重大漏洞之后三天内出现三则警告是正常的：研究人员深挖语言的某一部分时，也会发现旁边的问题。但这也说明了企业的一些情况。21日打完补丁就结案的人，会错过23日的警告。在这里，安全是持续的跟进，而不是做一次就结束的任务。

我们在沙特企业中看到，难的问题不是「漏洞是什么？」，而是「我们这边谁会在周五早上读到 PHP 的警告，并且知道哪台服务器是我们的？」。在 Origami，我们构建网站和系统，并从第一天起就监控它们的更新。如果您希望检查网站，或在不中断服务的情况下应用这些设置，请联系我们。

总结

10月21日的更新必不可少，仍然最重要；新警告并不改变这一点。今天再加一个低成本的步骤：如果不需要，就关闭上传进度跟踪，重启 PHP，并取得主机服务商的书面确认。然后留意 PHP 的下一个常规版本，它将带来 CVE-2026-115560 的最终修复。

来源