即將釋出的 PHP 重大安全性更新 （★ 100 分）
PHP 安全團隊預告將於 2026 年 10 月 21 日 14:00 UTC（台灣時間晚間 10:00）釋出緊急安全更新，修補兩項嚴重漏洞；兩者的 CVSS v4.0（通用弱點評分系統）皆為 9.2 分。官方尚未揭露受影響版本、漏洞細節與修補版本，但呼籲所有 PHP 使用單位預先安排更新作業，並表示若漏洞細節提前外洩，或已出現實際攻擊跡象，可能提早釋出更新。
這次警示的重要性高於一般例行修補。PHP 近月已持續為 8.2、8.3、8.4 與 8.5 分支釋出安全更新，但這次官方以「重大」等級預告，且同時涉及兩項高分弱點。網站與服務維運人員應盤點 PHP 版本及相依服務，確認更新窗口、備份與回復方案，並在更新釋出後儘速於測試環境驗證，再推送至正式環境。
Hacker News 討論中，有人批評在尚未提供修補前先公布嚴重等級，可能促使攻擊者加速尋找漏洞；也有人宣稱漏洞線索已在 X 等平臺流傳，並擔心大量舊式 PHP 網站會成為攻擊目標。部分留言推測漏洞可能導致遠端程式碼執行（RCE, Remote Code Execution），亦即攻擊者能在目標伺服器上執行任意程式碼，但這些說法在官方更新前均未獲證實。
討論亦流傳一項暫時因應方式：在 php.ini 中關閉 `session.upload_progress.enabled`，即停用上傳進度追蹤功能；傳言稱漏洞可能與該功能的懸空指標及記憶體配置操作有關。另有人建議同時啟用嚴格 Session 模式、停用不必要的 multipart 檔案上傳，或在無法即時修補時暫停對外服務。不過，也有自稱 PHP 發行工程人員的留言警告，單靠 INI 組態未必足以防護，因此最可靠的作法仍是等待官方修補版本並立即更新。
👥 17 則討論、評論 💬
https://news.ycombinator.com/item?id=50171528