PHP基金会披露CVE-2026-115560远程代码执行漏洞，暂不发布紧急修复版本。触发需特定配置组合：session.serialize_handler设为php_binary或php_serialize，运行时经ini_set()切换为php并调用session_start()，且启用上传进度功能，实际较少见。临时缓解方案为将session.upload_progress.enabled设为0，待常规修复版本发布后再恢复。