php.net 10-23 公告建议将 session.upload_progress.enabled=0 直到下一个常规 bugfix 版本，以防一个不太可能的 rce 向量；该设置此前已列为 ghsa-6wmf-4rv5-p3rp / cve-2026-109619 的缓解措施。触发需应用把 session.serialize_handler 设为 php_binary 或 php_serialize 后又在运行时用 ini_set() 切到 php 并调用 session_start()，且 session upload progress 仍开启。官方称将在下一次发布时公布 cve-2026-115560 完整公告；公告未写明受影响版本号。

关键信息一览

• 情报类目：安全漏洞（重要级别：中）
• 发布日期：2026-10-23　核验状态：已官方确认
• 关联编号：CVE-2026-115560 / GHSA-6wmf-4rv5-p3rp / CVE-2026-109619
• 影响范围：会话上传进度 + 运行时切换 serialize_handler 的配置组合（官方未列版本范围）
• 来源机构：php.net 官方安全公告（官方一手）

建议动作

在 php.ini / FPM 池配置中设 session.upload_progress.enabled=0 并重启所有 worker；跟踪下一次常规发布附带的 CVE-2026-115560 完整公告

来源

本文依据官方及权威渠道信息整理，原始出处：https://www.php.cn/link/bfeb917a8d1d26766aba9379aecc9614

A powerful memory management system powered by ReMe that provides persistent cross-session memory, automatic user preference application, and intelligent context compression for OpenClaw.

由 ReMe 驱动的记忆管理系统，支持跨会话记忆持久化、自动应用用户偏好以及智能上下文压缩...

下载