PHP未修复RCE漏洞被公开PoC演示

PHP安全团队披露远程代码执行漏洞 CVE-2026-115560，目前没有补丁，建议在修复发布前将 session.upload_progress.enabled 设为 0。团队称该漏洞只在非常规配置下可被利用：应用先把 session.serialize_handler 设为 php_binary 或 php_serialize，再在运行时用 ini_set() 切回 php 并调用 session_start()，同时 session upload progress 保持开启；团队认为这种配置不太可能出现在实际部署中，完整通告与修复将随下个版本发布。 随后有作者公开该漏洞的 PoC 和本地 PHP 靶场，演示运行时切换序列化器后，上传进度数据被另一序列化器解码并进入 unserialize()，触发 gadget 执行命令。该靶场还额外设置 session.upload_progress.cleanup=0，使进度条目保留到同一请求中的 session_start()。 PHP 团队还提到，此前修复的 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 已出现扫描和无效利用尝试。

AI 根据报道生成 · 4 分钟前更新

1. 10月24日 01:05 · 1 篇报道
   公开CVE-2026-115560利用代码
   Sploitus 利用聚合：CVE-2026-115560：PHP Session Upload Progress 注入利用代码公开
2. 10月24日 00:37 · 1 篇报道
   公开CVE-2026-115560本地复现环境与利用脚本
   Sploitus 利用聚合：CVE-2026-115560 的 PHP 会话反序列化 RCE PoC 与本地靶场
3. 10月23日 23:38 · 2 篇报道
   PHP团队披露未修复RCE漏洞并给出缓解措施
   BleepingComputer：PHP 就未修复的 RCE 漏洞 CVE-2026-115560 发布缓解措施