---
title: PHP 新安全漏洞披露，官方建议临时禁用特定功能
url: https://www.dataloco.com/zh/php
published: 2026-10-27T06:33:22+00:00
language: zh
section: 安全
source: https://www.donanimhaber.com/php-de-yeni-bir-kritik-guvenlik-acigi-daha-ortaya-cikti--212051
publisher: Dataloco
---

# PHP 新安全漏洞披露，官方建议临时禁用特定功能

PHP 项目披露了一个新的安全漏洞，该漏洞可能导致远程代码执行，主要影响特定配置下的 Web 应用。在 PHP2Shell 漏洞紧急补丁发布仅两天后，这一新漏洞被确认存在。

该漏洞涉及 PHP 的会话上传进度功能，该功能默认启用，用于跟踪文件上传状态。触发此漏洞需要满足多个特定条件：首先，应用的 session.serialize_handler 选项需设置为 php_binary 或 php_serialize；其次，需通过 ini_set() 函数在 session_start() 调用前将该选项更改为 php；最后，会话上传进度功能必须处于启用状态。由于这些条件需同时满足，PHP 开发者认为在实际应用中遇到此漏洞的可能性较低。

针对此漏洞，PHP 团队建议系统管理员通过设置 session.upload_progress.enabled=0 来禁用相关功能，作为临时缓解措施。这一建议与 10 月 21 日针对 PHP2Shell 漏洞发布的公告中提出的临时方案一致，因此已应用该设置的系统无需额外操作。官方计划在下一次常规错误修复版本中提供正式补丁，目前尚未公布受影响的具体版本、修复版本或漏洞严重等级。此外，该新漏洞与 PHP2Shell 漏洞是否源于同一根本原因尚不明确。

## This story in other languages

- [Polski](https://www.dataloco.com/pl/nowa-luka-bezpieczenstwa-w-php-uwaga-po-php2shell)
- [日本語](https://www.dataloco.com/ja/php2)
- [Русский](https://www.dataloco.com/ru/v-php-obnaruzena-novaia-uiazvimost-bezopasnosti)
- [עברית](https://www.dataloco.com/he/php-php2shell)
- [ไทย](https://www.dataloco.com/th/story-79)