各位經手了幾台PHP更新？

wkw

asp要錢
jsp小眾(甲古文有收錢了嗎?)or embedded
php開源全看功夫
有人要吐吐苦水嗎?

wkw

From HKEPC

【注意 ⚠️】還想走？沒那麼容易！！PHP 官方對重大「PHP2Shell」漏洞發布緊急安全更新後僅僅兩天，開發團隊於 10 月 23 日又再發現一個 CVSS v4.0 評分高達 9.2 的 RCE 重大漏洞，漏洞識別碼為 CVE-2026-115560。該漏洞允許攻擊者在 Web 伺服器上執行任意程式碼，建議管理員立即修改 php.ini 設定，關閉「Session 上傳進度」（Session Upload Progress）功能，直至官方釋出修復更新。
PHP 官方指出，本次新揭露的 CVE-2026-115560 與日前修復的漏洞屬於不同問題，日前推出的安全版本（包含 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35）並未包含此問題的修正。
當伺服器在 php.ini 內的 session.serialize_handler 設定為 php_binary 或 php_serialize，並且系統預設開啟的「Session 上傳進度」（Session Upload Progress）功能維持啟用時，一旦 PHP 呼叫 ini_set() 函式將該選項動態變更為 php，攻擊者就能利用該漏洞在 Web 伺服器上執行任意程式碼（RCE）。
目前，在尚未取得修補更新的情況下，PHP 團隊建議系統管理員直接在 php.ini 設定檔中將相關功能關閉：
session.upload_progress.enabled = 0
「Session Upload Progress」主要用途是讓應用程式在伺服器端追蹤檔案上傳的即時進度，在 PHP 預設環境中為開啟狀態，建議管理員應檢查 php.ini 設定，防止漏洞被黑客利用。
此外，日前揭發的兩大 PHP2Shell 重大漏洞（CVE-2026-109618 與 CVE-2026-109619），其攻擊活動正急遽擴大。亞馬遜（Amazon）蜜罐系統回報，早在官方公開漏洞前的 10 月 17 日，就已攔截到針對該漏洞的攻擊嘗試。
Cloudflare 監控數據亦顯示，在 10 月 21 日漏洞被提早披露後的 45 分鐘內，攻擊嘗試便達到數萬次，到了 10 月 22 日清晨更暴增至數百萬次規模，黑客集團更積極嘗試利用這兩項漏洞植入 Mirai 殭屍網絡（Botnet）變種。
資安專家強烈呼籲各大企業與網站維護團隊，應立即將 PHP 升級至最新發布的修復版本，並檢查伺服器的 php.ini 配置，以防禦持續升溫的自動化攻擊浪潮。