PHP 於10月23日披露第三個可能導致遙距執行程式碼漏洞 CVE-2026-115560，修補與通告待下次例行更新。PHP Foundation 執行董事 Elizabeth Barron 稱只屬資訊性公告，官方建議暫時關閉 Session 上傳進度追蹤。
10月21日兩項嚴重漏洞各評 9.2 分
10月21日緊急修補的兩項嚴重漏洞按 CVSS v4.0 各評 9.2 分，特定條件下可致未經認證遙距執行程式碼，修補版本為 8.5.12、8.4.27、8.3.36 及 8.2.35；第三個漏洞風險相對有限，但該兩項仍須修補。
三項設定齊備方構成攻擊途徑
公告指，應用須先以 php_binary 或 php_serialize 作序列化處理器，再於執行期間改用 php 並保持上傳進度開啟，三者齊備才成攻擊途徑；只開上傳進度或單用 PHP 不足以觸發，從不切換處理方式者可繼續啟用。Barron 稱組合極罕見。
上傳進度設定須在伺服器層落實
session.upload_progress.enabled 須設為 0，寫入 php.ini 或伺服器層、重啟程序，請求前生效；程式內改動不足。已關閉者免重做，設定亦緩和 CVE-2026-109619，惟不能完全取代10月21日兩項漏洞的更新。
WordPress 管理員可核對 PHP 版本
單憑版本號不能判斷安全：部分發行版會把修補回移植到舊套件，供應商通告仍須核對。WordPress 官方提醒，管理員可到後台「工具」的「網站健康狀態」核對 PHP 版本，向主機商查問修補已否套用；兩項漏洞根源在 PHP 執行環境，不必空等核心更新。
