PHP 新安全漏洞披露，官方建议临时禁用特定功能

PHP 项目披露了一个新的安全漏洞，该漏洞可能导致远程代码执行，主要影响特定配置下的 Web 应用。在 PHP2Shell 漏洞紧急补丁发布仅两天后，这一新漏洞被确认存在。

该漏洞涉及 PHP 的会话上传进度功能，该功能默认启用，用于跟踪文件上传状态。触发此漏洞需要满足多个特定条件：首先，应用的 session.serialize_handler 选项需设置为 php_binary 或 php_serialize；其次，需通过 ini_set() 函数在 session_start() 调用前将该选项更改为 php；最后，会话上传进度功能必须处于启用状态。由于这些条件需同时满足，PHP 开发者认为在实际应用中遇到此漏洞的可能性较低。