在 PHP2Shell 漏洞风波持续发酵之际，研究人员发现了第三个相关的安全缺陷。不过，PHP 基金会决定不为此发布紧急修复补丁。
PHP 基金会于周五向 The Register 证实，已为这第三个远程代码执行（RCE）漏洞分配了 CVE 标识符 CVE-2026-115560。该漏洞将与此前披露的 CVE-2026-109618 和 CVE-2026-109619（统称为 PHP2Shell）一同处理，完整的咨询信息和修复方案将随下一个常规 PHP 版本发布。
触发条件极为苛刻
PHP 基金会执行董事 Elizabeth Barron 表示，CVE-2026-115560 “需要极为罕见的配置组合以及特定的 PHP 应用代码，我们认为这在 PHP 的实际使用中不太可能出现。”她指出，该问题可以通过调整配置进行缓解，因此 PHP 安全团队目前仅在官网发布了信息性公告以详细说明情况。
为了防范这一低概率的 RCE 攻击媒介，用户被建议在下一个定期错误修复版本中将 session.upload_progress.enabled=0。
根据 PHP 基金会的描述，成功利用该漏洞需要满足一系列严格条件：应用程序必须在配置中将 session.serialize_handler 设置为 php_binary 或 php_serialize；随后在运行时通过 ini_set() 将其切换为 php，且必须在调用 session_start() 之前完成此操作；此外，会话上传进度功能必须处于启用状态。基金会认为这种设置在现实应用中极难出现。
暂无确凿的大规模利用证据
此前正式公布并修复的两个 PHP2Shell 漏洞涉及内存安全缺陷，影响运行着约 70% 网站的开源编程语言 PHP。尽管有报道称存在大量漏洞利用尝试，且在 CVE 披露前后出现了多次概念验证（PoC），但截至周五，尚无公开确认的成功野外攻击归因于 PHP2Shell。
“我们没有证据表明在周三之前成功利用这两个漏洞，目前也没有证据表明这些漏洞在修补后的 PHP 版本中被利用。”基金会方面表示，他们正与 OpenAI、Wiz 和 Calif 等机构密切合作解决相关问题，并未收到进一步的指示。
The Register 联系的多名安全研究人员均表示记录了利用尝试，但未证实在野外的成功攻击。
Mandiant 首席技术官 Charles Carmakal 在周五的 LinkedIn 帖子中指出，虽然“没有证据表明有成功的大规模利用”，但威胁是可行且非常严重的，剥削可能已经以有限的方式开始。Google Cloud 拥有 Mandiant，而发现并报告 PHP2Shell 漏洞的组织之一 Wiz 也隶属于 Google Cloud。
Carmakal 补充道，许多公开的 PoC 似乎是“vibe-coded”（基于直觉编码）且无法实现远程代码执行。然而，部分经过验证的 PoC 确实能够对默认部署 mod_php 的环境（而非 PHP-FPM）实现 RCE。
