PHP一周爆三个洞。上周那波"我们项目不用PHP，资金安全"的表态潮，现在回头看，更像免责声明大赛。
PHP基金会又发了第三个远程代码执行风险 CVE-2026-115560，影响的是运行时切换序列化处理器的少数配置，临时解法是把 session.upload_progress.enabled 设成0。前面10月21日才紧急补完 CVE-2026-109618 和 109619，CVSS 9.2，不用登录就能打。
合约不用PHP，不等于你安全。你打开的官网、项目方后台、KOL甩给你的"领空投"页面，背后跑的什么你根本不知道。PHP撑着大约七成网站，攻击尝试已经到百万级，目前没确认大的失窃，但这类事向来是先没事，然后突然有事。
所以这周谁在群里喊"紧急迁移资产"，我默认他是骗子，项目方官号也一样，先去别的渠道核实再说。
#网络安全 #钓鱼
PHP基金会又发了第三个远程代码执行风险 CVE-2026-115560，影响的是运行时切换序列化处理器的少数配置，临时解法是把 session.upload_progress.enabled 设成0。前面10月21日才紧急补完 CVE-2026-109618 和 109619，CVSS 9.2，不用登录就能打。
合约不用PHP，不等于你安全。你打开的官网、项目方后台、KOL甩给你的"领空投"页面，背后跑的什么你根本不知道。PHP撑着大约七成网站，攻击尝试已经到百万级，目前没确认大的失窃，但这类事向来是先没事，然后突然有事。
所以这周谁在群里喊"紧急迁移资产"，我默认他是骗子，项目方官号也一样，先去别的渠道核实再说。
#网络安全 #钓鱼