php.net 在 10 月 23 日发布了一份信息性安全公告：建议将 session.upload_progress.enabled 设为 0，直到下一个常规 bugfix 版本，以防一个不太可能的 rce 向量，即 cve-2026-115560。该设置此前已被列为 ghsa-6wmf-4rv5-p3rp 的缓解措施之一。
▲ 事件来源页面实时截图：php.net 官方安全公告
触发条件有多苛刻
需要应用把 session.serialize_handler 设为 php_binary 或 php_serialize 后，又在运行时用 ini_set() 切回 php 并调用 session_start()，且 session upload progress 仍然开启。条件苛刻但官方仍建议直接关闭。
后续
官方将在下一次发布时公布 CVE-2026-115560 的完整公告；本次公告未列出受影响版本号。来源：www.php.net/archive/2026.php#2026-10-23-1
信息性公告意味着什么
官方以「信息性公告」形式说明 Session upload progress 相关的问题（CVE-2026-115560）：它不属于需要紧急升级的远程利用漏洞，但在特定配置下会暴露非预期信息或产生异常行为，因此单独立项提示。
需要做什么
检查是否启用了 session.upload_progress 并在前端暴露了进度查询端点；若不需要该特性，直接在 php.ini 关闭。需要保留的，应确保进度键不可被外部枚举，并按分支升级到含修复的版本。
由 ReMe 驱动的记忆管理系统，支持跨会话记忆持久化、自动应用用户偏好以及智能上下文压缩...
修复补丁（官方提交）
该问题由 php-src 官方提交 3584a98bda0f 修复（2026-10-18），提交说明为「Avoid state corruption via bailout」。改动涉及 5 个源码/测试文件，核心变更如下：
Zend/zend.c
@@ -737,6 +737,8 @@ static void compiler_globals_ctor(zend_compiler_globals *compiler_globals) /* {{
compiler_globals->map_ptr_base = ZEND_MAP_PTR_BIASED_BASE(base);
memset(base, 0, compiler_globals->map_ptr_last * sizeof(void*));
}
+
+ compiler_globals->interned_strings_fallible = false;
}
/* }}} */
@@ -809,6 +811,7 @@ static void executor_globals_ctor(zend_executor_globals *executor_globals) /* {{
executor_globals->pid = 0;
executor_globals->oldact = (struct sigaction){0};
#endif
+ memset(&executor_globals->delayed_oom, 0, sizeof(executor_globals->delayed_oom));
}
/* }}} */
@@ -1307,6 +1310,8 @@ ZEND_API void zend_deactivate(void) /* {{{ */
zend_map_ptr_reset();
}
+ zend_mm_oom_info_dtor(&EG(delayed_oom));
+
#if GC_BENCH
fprintf(stderr, "GC Statistics\n");
fprintf(stderr, "-------------\n");
▲ 补丁片段摘自 php-src 官方仓库该提交
完整补丁与测试用例可在 php-src 仓库该提交页面查看：https://github.com/php/php-src/commit/3584a98bda0f2c0d367255b046798b0d3a221a19
▲ 官方索引页截图
▲ 官方修复提交页面截图
关键信息
| 项目 | 内容 |
|---|---|
| 类目 | 安全漏洞 |
| 级别 | 中 |
| 日期 | 2026-10-23 |
| 关联编号 | CVE-2026-115560 / GHSA-6wmf-4rv5-p3rp / CVE-2026-109619 |
| 影响范围 | 会话上传进度 + 运行时切换 serialize_handler 的配置组合（官方未列版本范围） |
| 核验状态 | 已官方确认 |
| 修复提交 | 3584a98bda0f（php-src） |
来源：https://www.php.net/archive/2026.php#2026-10-23-1
