CVE-2026-115560：新的未修补PHP RCE风险需要立即缓解

PHP 已披露 CVE-2026-115560，这是一个影响使用不寻常的 PHP 会话配置和运行时行为组合的 Web 应用程序的新远程代码执行风险。该问题于 2026 年 10 月 23 日披露，仅仅两天之后，PHP 发布了针对关键 PHP2Shell 漏洞 CVE-2026-109618 和 CVE-2026-109619 的紧急修复。

与之前的漏洞不同，CVE-2026-115560 并没有引发另一场紧急 PHP 发布。PHP 安全团队认为这种易受攻击的配置在典型部署中不太可能出现，并计划通过其下一次常规漏洞修复周期解决该缺陷。在此期间，建议管理员禁用可能存在易受攻击配置的 PHP 会话上传进度功能。

此次新漏洞的重要性还表现在安装 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35— not 这些修复了之前两个 PHP2Shell 漏洞的版本—无法缓解 CVE-2026-115560。因此，即使系统完全更新，如果应用程序满足特定的配置前提条件，仍可能会受到暴露。

寻求 CVE-2026-115560 检测机会的安全团队应优先关注 PHP 会话处理、异常的多部分上传、会话序列化行为的意外更改，以及由 PHP 或 Web 服务器工作进程引发的可疑子进程。

SOC Prime 的 AI 原生检测智能平台使安全团队能够在 SIEM、EDR 和数据湖环境中增强对新出现漏洞利用和相关后果行为的覆盖范围。

点击 探索检测 以访问相关的检测内容和狩猎逻辑。为了检测 CVE-2026-115560，防御者应在供应商补丁不可用时，结合 PHP 配置评估与 Web、端点、应用程序和反向代理的遥测。

安全从业者还可以利用 Prime Architect 将新披露的漏洞情报转化为 Sigma 规则和狩猎查询，验证检测逻辑，并将相关检测翻译到支持的安全平台。

联系我们的销售

CVE-2026-115560 分析

PHP 于 10 月 23 日发布了一份信息公告，描述了会话序列化与会话上传进度功能之间潜在的可利用交互。

据 PHP 安全团队称，在问题发生之前，应用程序必须满足几个特定条件：

• session.serialize_handler 初始配置必须是 php_binary 或 php_serialize。
• 然后应用程序代码必须通过 ini_set() 在运行时将处理程序更改为 php。
• 这种更改必须在调用 session_start() 之前发生。
• session.upload_progress.enabled 必须保持启用状态。

在运行时从未切换序列化处理程序的应用程序不会通过此特定路径受到威胁，并可以继续使用会话上传进度。PHP 将这种易受攻击的组合描述为不常见。

与 CVE-2026-109618 和 CVE-2026-109619 相比，这一区别大大缩小了攻击面。早些时候的 PHP2Shell 漏洞广泛地影响了 Web 服务 PHP 安装，并需要紧急更新。而 CVE-2026-115560 则取决于应用程序特定的配置和代码行为。

CVE-2026-115560 的详细信息仍然有意保持有限。PHP 尚未发布完整的技术根本原因、确切的易受攻击版本范围、CVSS 分数或最终导致 RCE 条件的特定内部内存或会话状态转换。供应商表示，这些详细信息将包含在下一次常规发布中。

根据披露的先决条件，当应用程序在请求处理中更改序列化格式时，漏洞似乎与会话数据处理不一致有关，而 PHP 的上传进度机制处于活动状态。然而，确切的利用原语不应超出 PHP 官方披露的内容外推。

CVE-2026-115560 影响符合易受攻击配置模式的应用程序，包括运行完全修补的 PHP 版本包含 10 月 21 日 PHP2Shell 修复的应用程序。PHP 尚未说明哪些 PHP 分支或历史版本包含此潜在缺陷。

这意味着管理员不应仅根据已安装的 PHP 版本来判断暴露，而是需要评估应用程序和服务器配置。

一个有用的第一步是检查会话上传进度是否已启用：

session.upload_progress.enabled=1

管理员还应该识别任何调用 ini_set() 来修改 session.serialize_handler 的应用程序代码，尤其是从 php_binary 或 php_serialize 过渡到 php 的变化。

尽管新漏洞与 CVE-2026-109619 分开，但缓解措施有所重叠。禁用会话上传进度已被推荐作为针对原始 PHP2Shell 漏洞之一的风险降低措施。根据 PHP，那些在 10 月 21 日紧急更新后保持该设置禁用状态的组织已受到新披露路径的保护。

目前 PHP 或两个提供的报告中没有记录 CVE-2026-115560 的公共 PoC。安全团队也没有披露足够的技术信息，仅凭公开公告就能可靠地重现漏洞。

这与早期的 PHP2Shell 漏洞明显不同，对于那些漏洞，围绕披露出现了各种概念验证尝试和利用活动。这些攻击不应归因于新漏洞。

截至 2026 年 10 月 26 日，尚未报告 CVE-2026-115560 的利用。Hacker News 特别将正在进行的 PHP2Shell 扫描和利用尝试与这个新漏洞区分开来，并指出观察活动的目标是 CVE-2026-109618 和 CVE-2026-109619。

因此，CVE-2026-115560 的 IOC，如恶意 IP 地址、域、哈希、载荷或经过确认的利用请求模式目前尚不可用。

在更多技术细节出现之前，防御者应关注基于行为和配置的指标，包括：

• PHP 应用程序在执行期间更改 session.serialize_handler
• 在具有自定义会话逻辑的应用程序上保持启用会话上传进度
• 对处理 PHP 会话的应用程序进行意外的多部分 POST 流量
• PHP-FPM、php-cgi、Apache 或其他 PHP 服务进程生成的 shell 或脚本解释器
• 来自 PHP 工作进程的意外出站网络连接
• 在 Web 根目录或可写应用程序目录中创建的新文件
• 会话文件或会话存储的异常更改
• 由 PHP 服务账户创建的 Web shell、调度任务或未经授权的持久性

应用程序开发人员还应审查自定义会话处理逻辑。框架扩展、遗留应用程序、内部平台或自定义身份验证系统比简单的 PHP 部署更有可能动态修改序列化设置。

本次披露正值 PHP 漏洞利用活动活跃期间。原始 PHP2Shell 漏洞于 10 月 21 日修补，随后多家安全公司观察到了广泛的探测和利用尝试。然而，PHP 和安全研究人员尚未将这些攻击活动与 CVE-2026-115560 相关联。

CVE-2026-115560 缓解措施

PHP 目前建议采取一项直接的防御措施：

session.upload_progress.enabled=0

管理员应通过 php.ini、PHP-FPM 池配置、Apache 配置或其他在请求处理之前生效的服务器级机制应用该设置。

那些在缓解 CVE-2026-109619 时禁用该功能并保持其禁用状态的组织无需为此漏洞进行额外的配置更改。

改变设置后，重新启动 PHP 工作进程和相关 Web 服务，以确保现有进程加载更新的配置。根据环境需要，这可能包括重新启动 PHP-FPM 池、Apache 工作进程、容器或其他 PHP 应用程序运行时进程。

管理员可以通过检查 PHP 配置而不是假设中央 php.ini 值适用于所有地方来验证有效设置。PHP 部署通常会结合来自以下来源的设置：

• 全局 php.ini
• conf.d 文件
• PHP-FPM 池配置
• Apache 指令
• 容器特定配置
• 应用程序级 .user.ini
• 对 ini_set() 的运行时调用

最重要的暴露评估是应用程序具体的。在应用程序源代码中搜索会话序列化器的运行时修改，尤其涉及以下模式：

ini_set(‘session.serialize_handler’, ‘php’)

从未在 session_start() 之前将序列化器从 php_binary 或 php_serialize 更改为 php 的应用程序不符合 PHP 已披露的易受攻击情景。

尽管如此，组织仍应保持 10 月 21 日的 PHP2Shell 安全更新。禁用上传进度解决了新发现的路径，但并不能取代 CVE-2026-109618 和 CVE-2026-109619 的紧急修复。

因此，受支持的安装应保持至少：

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

这些版本修复了早期的 PHP2Shell 问题，但未修复新披露的漏洞。

安全团队还应对不受支持的 PHP 安装进行清点。PHP 8.1 及早期版本不再接收常规上游安全更新，这意味着运行遗留环境的组织在最终的 CVE 公告发布后可能难以确定完整的暴露情况。

如果操作上不可能禁用会话上传进度，组织应该首先确定他们的应用程序是否确实动态修改了序列化处理程序。PHP 明确指出，从未执行此运行时切换的应用程序可以保持会话上传进度启用。

作为额外的安全措施，防御者可以：

• 限制外部访问到敏感的 PHP 应用程序。
• 应用限制性反向代理规则，围绕不必要的文件上传端点。
• 监控与 PHP 会话相关的多部分请求。
• 对异常的 PHP 工作进程子进程发出警报。
• 对 PHP-FPM 和 Web 服务器账户应用最小权限原则。
• 尽可能防止 PHP 服务写入可执行目录。
• 限制来自 Web 应用程序工作负载的出站连接。
• 监控 Web 根目录和临时目录是否有未经授权的文件创建。

AWS 还指出，其 PHP 应用程序 WAF 规则可以阻止结合 PHP 会话标识符与 PHP_SESSION_UPLOAD_PROGRESS 字段的 POST 请求，为不能立即进行配置更改的环境提供另一个防御层。这种类型的过滤仍应被视为深度防御，而不是 PHP 推荐的配置更改的替代品。

一旦 PHP 发布包含永久修复的常规漏洞修复更新，组织应及时部署，即使临时缓解措施已经启用。

打补丁后，管理员可以根据应用程序需要决定是否需要重新启用会话上传进度。

如果怀疑存在利用，隔离受影响的应用服务器并保留 Web、PHP、反向代理、端点和网络遥测。检查可写目录内的 Web shell 或新创建的文件，检查 PHP 子进程，并识别被破坏的服务访问到的凭证或秘密。

由于成功利用可能会导致在 PHP 工作进程权限下执行代码，回应者应在无法排除妥协的情况下旋转相关的应用程序凭证、数据库秘密、API 令牌、云密钥和其他敏感信息。

免责声明： 检测内容可能不适用于每个 CVE。请检查 SOC Prime 平台以获取当前覆盖范围。如果相关检测尚不可用，请继续检查，因为新的威胁情报和检测内容会不断添加。