PHP 安全团队近日披露了一个新的远程代码执行（RCE）漏洞，编号为 CVE-2026-115560。与近期引发广泛关注的“php2shell”漏洞不同，该新漏洞由于利用条件极为苛刻，不会获得紧急补丁修复，而是将在下一个常规版本中解决。
- 新发现的 RCE 漏洞依赖于罕见且特定的配置组合才能被利用
- 官方计划在下个常规更新中修复，而非发布紧急补丁
- 研究人员指出，目前针对 php2shell 的实际攻击仍然有限
利用门槛极高：需特定配置组合
根据 PHP 安全组织发布的最新建议，CVE-2026-115560 漏洞仅在极不寻常的配置和应用程序代码组合下才可能被滥用。具体而言，攻击者需要满足以下严格条件：
首先，应用程序必须在初始设置中将 session.serialize_handler 设为 php_binary 或 php_serialize；其次，在运行时调用 session_start() 之前，必须通过 ini_set() 将其切换为 php。此外，会话上传进度功能（session.upload_progress）也必须保持启用状态。咨询文件明确指出，那些在运行时从不改变序列化处理器的应用程序即使保持该功能开启，也不会面临风险。
鉴于利用难度极大，除非用户环境恰好符合上述确切设置，否则无需过度担忧。作为临时缓解措施，PHP 安全团队建议在等待下一个包含修复的常规版本期间，将 session.upload_progress.enabled 设置为 0。这一配置同样被列为此前严重漏洞 CVE-2026-109619 的缓解手段之一。
“php2shell”现状：ASLR 机制提供关键防御
CVE-2026-109619 是最近被称为“php2shell”的两个严重 RCE 漏洞之一。PHP 作为构建银行、教育、医疗及政府网站等关键基础设施的主流编程语言，其安全性至关重要。尽管威胁行为者试图利用这些漏洞完全控制目标网站，但实际发生的成功攻击案例相对有限。
在补丁发布前的保密阶段，亚马逊网络服务（AWS）exploit 团队曾发现过利用尝试。然而，当 Chainguard 首席执行官在补丁正式发布前几小时泄露了包含修复程序的容器镜像后，攻击数量迅速从几百次激增至数千次。原定 10 月 21 日发布的补丁旨在让 IT 团队有时间准备并部署更新。
尽管漏洞严重性高且信息泄露导致攻击激增，但大规模剥削并未如预期般发生。Pluto Security 安全研究主任 Yotam Perkal 分析认为，这主要归功于地址空间布局随机化（ASLR）这一内存保护机制。ASLR 会在每次程序运行时随机改变代码和数据在内存中的存储位置，极大地增加了远程利用的难度。
Perkal 指出：“可靠的代码执行需要通过 ASLR 屏障，这在远程环境下极具挑战性。许多公开的 PoC（概念验证代码），其中不少可能是由 AI 辅助编写的，无法在真实系统上可靠运行。”
虽然 ASLR 提供了宝贵的缓冲时间，但 Perkal 强调，大多数 PHP 服务器仍未完成修补。安全团队应立即行动，修补并重启 PHP 工作进程。总体而言，相较于之前的恐慌情绪，目前现实世界中针对 php2shell 的有效利用仍处于较低水平。
