怎么关闭session.upload_progress降低PHP2Shell风险-php教程-PHP中文网

关闭 session.upload_progress.enabled 是官方推荐的临时缓解措施，可阻断 cve-2026-109619 利用路径，因该漏洞依赖 php_session_upload_progress 字段触发内存误析构；需配合 session.use_strict_mode=1 等加固，并尽快升级至 php 8.5.12/8.4.27/8.3.36/8.2.35。

怎么关闭session.upload_progress降低php2shell风险

关闭 session.upload_progress.enabled 是官方推荐的临时缓解措施之一，能直接阻断 CVE-2026-109619 的主要利用路径——因为该漏洞依赖 multipart 请求中 PHP_SESSION_UPLOAD_PROGRESS 字段触发异常状态复用。关闭后，PHP 不再解析该字段，也就无法进入后续的内存误析构流程。

确认当前配置状态

先检查是否已启用：

运行 php -i | grep upload_progress，查看输出中 session.upload_progress.enabled 是否为 On
或在 Web 环境中创建 phpinfo.php，浏览器访问后搜索关键词

三种关闭方式（按优先级推荐）

方式一：修改 php.ini（最彻底）

找到正在使用的 php.ini 文件（php --ini 可定位）
添加或修改这一行：session.upload_progress.enabled = Off
重启 Web 服务（如 systemctl restart apache2 或 systemctl restart php-fpm）

方式二：运行时动态设置（仅限 CLI 或部分 SAPI）

Session Handoff

创建全面的交接文档，使新AI代理能够无缝继续工作，消除歧义。解决上下文耗尽问题。时机：(1)用户请求保存交接，(2)上下文即将满，(3)主要任务完成，(4)会话结束，(5)恢复工作时。关键词：保存状态、创建交接、上下文已满、暂停、从...恢复、加载交接、保存进度、会话转移、交接

下载

不适用于 Apache mod_php 或大多数生产 Web 环境
可在脚本开头加：ini_set('session.upload_progress.enabled', '0'); ——但注意，此设置在请求解析阶段早已生效，实际无效，不建议依赖

方式三：通过 .htaccess（Apache + mod_php 专用）

在网站根目录或敏感目录下新建或编辑 .htaccess
加入：php_flag session.upload_progress.enabled off
确保 Apache 启用了 AllowOverride Options 或类似权限

配套必须做的配置

单关 upload_progress 不够，需同步加固：

session.use_strict_mode = 1：防止会话固定，降低攻击者复用 Session ID 的可能性
session.cookie_httponly = 1 和 session.cookie_secure = 1（如使用 HTTPS）：保护 Session Cookie 不被 JS 窃取
若非必要，也建议设 session.upload_progress.cleanup = On（默认即为 On，确认即可）