PHP2Shell 新變種零時差 CVE-2026-115560：Cloud WAF 10/21 已提早攔截
10/23 公布的 PHP 新零時差 CVE-2026-115560 屬於 PHP2Shell 攻擊手法的新變種。CloudCoffer Cloud WAF 在 10/21 上午已提早偵測並阻擋；建議立即在 php.ini 設定 session.upload_progress.enabled = 0。
重點先看
在 php.ini 設定 session.upload_progress.enabled = 0 可緩解 PHP2Shell 新變種零時差 CVE-2026-115560；Cloud WAF 已於 10/21 提早攔截。
發生了什麼
10/23 公布的 PHP 新零時差 CVE-2026-115560，與 CVE-2026-109618／109619（PHP2Shell）是不同的漏洞，屬於同一類攻擊手法的新變種。 紘瑒科技監控的 CloudCoffer Cloud WAF 在 10/21 上午 06:04:23 就已偵測到這類攻擊，並以 HTTP 403 阻擋；觸發欄位為 PHP_SESSION_UPLOAD_PROGRESS。
實際攔截紀錄
MatrixShield 的 PHP2Shell 防護規則 1002618／1002619 比對到 multipart 欄位 PHP_SESSION_UPLOAD_PROGRESS，請求在轉給 PHP 之前就被拒絕（Action：DENY，HTTP Status：403，Enforcement：PREVENTION）。下方截圖為實際攔截紀錄，來源、目的地與 FQDN 已遮蔽。
建議立即緩解
在 php.ini 加入以下設定，停用 session 上傳進度功能，然後重新啟動 PHP-FPM 或 Web 服務： session.upload_progress.enabled = 0
為什麼難防
這次的 PHP2Shell 觸發在 PHP 核心層，攻擊請求裡不一定會出現常見的 RCE 注入字眼，傳統特徵比對很容易漏掉，這也是目前防禦端最大的困難。 Cloud WAF 從請求結構（上傳進度欄位）著手，所以能在 PHP 處理請求之前就把它擋下。 如果攻擊者已經取得 RCE，後續的入侵流程可以交給 MDR，在系統層偵測並緩解，形成第二道防線。
常見問題
CVE-2026-115560 是什麼？
CVE-2026-115560 是 2026 年 10 月公布的 PHP 新零時差漏洞，屬於 PHP2Shell 攻擊類型的新變種，與 CVE-2026-109618、CVE-2026-109619 是不同的漏洞。
如何緩解 PHP2Shell 零時差攻擊？
在 php.ini 加入 session.upload_progress.enabled = 0，停用 session 上傳進度功能，然後重新啟動 PHP-FPM 或 Web 服務。
為什麼 WAF 很難偵測 PHP2Shell？
這次的 PHP2Shell 觸發在 PHP 核心層，攻擊請求不一定含有 RCE 注入字眼，傳統特徵比對容易漏掉。CloudCoffer Cloud WAF 從 PHP_SESSION_UPLOAD_PROGRESS 這類請求結構著手，能在請求送進 PHP 之前就攔下。
CloudCoffer Cloud WAF 何時偵測到這次攻擊？
CloudCoffer Cloud WAF（MatrixShield）在 2026/10/21 上午 06:04 就偵測到這類攻擊，並以 HTTP 403 攔截。
如果攻擊已造成 RCE 該怎麼辦？
可以由 MDR 在系統層偵測並緩解 RCE 之後的入侵流程。DevaEye CSaaS 團隊會持續關注這起事件。