PHP 8.5.12 不修复 session 固定漏洞，因其属应用层缺陷，需开发者在登录成功后调用 session_regenerate_id(true) 并确保安全配置生效。
PHP 8.5.12 本身不修复 session 固定漏洞。这个版本只修复了两个内核级 RCE 漏洞（CVE-2026-109618 和 CVE-2026-109619），与会话固定（Session Fixation）无关。session 固定是应用层逻辑缺陷，必须由开发者在代码中主动防御。
为什么升级到 8.5.12 后仍可能被 session 固定攻击
session 固定漏洞的根源在于：攻击者能诱导用户使用一个已知的 PHPSESSID 登录，服务端未强制更换该 ID，导致登录后攻击者直接获得有效会话。PHP 内核不负责判断“何时该换 ID”，它只提供 session_regenerate_id() 这个工具。
- phpMyAdmin 5.2.2+ 升级后也需手动配置
$cfg['SessionForceNew'] = true才生效 - PHPCMS、自研登录系统等，即使运行在 PHP 8.5.12 上，只要没调用
session_regenerate_id(true)，漏洞就存在 -
session.use_strict_mode = 1可拒收非法 SID，但无法阻止合法 SID 被复用——这正是固定攻击的关键
修复 session 固定必须做的三件事
仅靠 PHP 版本升级毫无作用，以下操作缺一不可：
Session Handoff
下载
创建全面的交接文档，使新AI代理能够无缝继续工作，消除歧义。解决上下文耗尽问题。 时机：(1)用户请求保存交接，(2)上下文即将满，(3)主要任务完成，(4)会话结束，(5)恢复工作时。 关键词：保存状态、创建交接、上下文已满、暂停、从...恢复、加载交接、保存进度、会话转移、交接
- 在用户成功认证（如密码校验通过）后，立即执行
session_regenerate_id(true)——true参数表示删除旧会话文件，避免残留 - 确保
session_start()在任何输出（包括空格、BOM、HTML）之前调用，否则 header 重定向和 cookie 设置会失败 - 在 php.ini 或运行时设置
session.cookie_httponly = 1和session.cookie_secure = 1（后者要求 HTTPS）
常见验证失败原因
即使写了 session_regenerate_id(true)，也可能因环境配置失效：
立即学习“PHP免费学习笔记（深入）”；
- 反向代理（如 Nginx、Cloudflare）未透传
X-Forwarded-Proto，导致session.cookie_secure生效但浏览器不发送 Cookie - Safari 用户遇到 SameSite 问题：若
session.cookie_samesite为None但未配Secure，或为Lax但在重定向链中触发限制，会话再生后的 Cookie 可能被丢弃 - 使用
files存储时，session.save_path目录权限错误（如 Web 进程无写入权），导致新 session 文件无法创建，session_regenerate_id()静默失败
真正起作用的从来不是版本号，而是那行 session_regenerate_id(true) 是否在正确时机、正确环境下被执行。别让“已升级”成为安全盲区的遮羞布。
