据TechRadar 10月26日报道，PHP安全团队披露新的远程代码执行漏洞CVE-2026-115560，但因利用条件罕见，该漏洞不会获得紧急补丁，将在下一次常规修复版本中处理。

PHP安全团队在安全公告中说，该会话上传进度漏洞只能在“配置和应用代码形成不寻常组合”时被滥用。应用程序必须在配置中将session.serialize_handler设为php_binary或php_serialize，然后在调用session_start()之前通过ini_set()在运行时将其切换为php，同时会话上传进度仍须处于启用状态。公告称，从不在运行时更改序列化处理器的应用可以继续启用该功能。除非环境具备这些精确设置，否则不受影响。团队建议用户在下一次常规错误修复版本发布前将session.upload_progress.enabled设为0，以完全防范这一被其称为“不太可能”的远程代码执行路径；该设置曾被列为CVE-2026-109619的缓解措施，已应用者保持即可。

CVE-2026-109619是近期发现的两个严重远程代码执行漏洞之一，被合称为“php2shell”。这一发现曾引发广泛恐慌。PHP是用于构建网站和网络应用的流行编程语言，一些分析人士称约70%的互联网网站运行PHP，包括银行、教育、医疗和政府站点。漏洞允许威胁行为者完全控制网站。PHP安全团队当时正在修复php2shell，少数安全组织知情或参与相关工作，并被要求在补丁发布前不公开消息，以免提醒网络犯罪分子。

但信息仍被泄露。据TechRadar报道，亚马逊云科技（AWS）团队在补丁预定发布前四天看到利用尝试。发布前数小时，安全公司Chainguard首席执行官公开了包含漏洞修复的容器镜像，打破了禁令。安全社区将随后发生的情况归咎于他：补丁发布后数小时内，尝试利用的次数增至数百、数千，随后达到数百万。PHP安全团队曾发布“提前通知”警报，提醒IT团队做好准备，等待原定10月21日的补丁。

这场由多个威胁行为者发起的规模化利用活动导致恐慌。多个消息源称，欧洲的医疗、政府和教育机构在等待修复期间预先关闭网站。尽管漏洞严重且攻击者迅速采用，实际入侵事件很少。Pluto Security安全研究总监约塔姆·佩尔卡尔表示，php2shell并不容易利用，可靠代码执行需要绕过ASLR，而远程做到这一点很难，公开的PoC中有许多在真实系统上不能可靠运行。

佩尔卡尔认为，ASLR最多只能为安全团队争取一点时间。他说，不能指望情况一直如此，利用代码会变得更好，而大多数PHP服务器仍未打补丁，团队应现在打补丁并重启PHP工作进程。与补丁发布前后的戏剧性场面相比，现实中的利用情况迄今看起来相当有限。