PHP2Shell漏洞修補釋出兩天後，PHP基金會警告還有一個待修補的遠端程式碼執行漏洞

從10月20日起，PHP2Shell漏洞（CVE-2026-109618與CVE-2026-109619）的發現、揭露與修補議題，掀起新一波全球網站資安風暴，兩天後，PHP基金會預告PHP還有一個遠端程式碼執行（RCE）漏洞CVE-2026-115560尚待修補，目前用戶可採取的緩解方式是將 session.upload_progress.enabled設為0，而該項作法也是PHP基金會建議的CVE-2026-109619緩解方式。

這份10月23日發布的公告提到，只有在PHP採用一種不常見的設定時，才會引發這個問題。當session.serialize_handler的選項設定為php_binary或php_serialize時，並在呼叫session_start()之前，透過執行階段ini_set()的使用將此選項切換至PHP，而且連線階段上傳進度（Session upload progress）功能必須設為啟用——若應用程式執行期間從未變更序列處理程序，這項功能就會持續處於啟用狀態。

由於上述設定在實際應用極為罕見，PHP基金會將透過常規發布週期處理此問題，並將於下個版本發布針對CVE-2026-115560的完整安全公告。

除此之外，PHP基金會尚未進一步說明受到影響的版本、包含漏洞修補的版本，以及問題的嚴重程度評分，也未說明新問題是否與CVE-2026-109619具有相同的根本原因。目前NVD與CVE等漏洞資料庫尚未收錄CVE-2026-115560的資料，但資安廠商Fortinet的PHP2Shell漏洞爆發警示，已將此漏洞與CVE-2026-109618、CVE-2026-109619並列為同一組觀測目標。