PHP官方于2026年10月21日发布紧急更新，修复CVE-2026-109618和CVE-2026-109619两个CVSS 9.2分的远程代码执行漏洞，影响PHP-FPM、mod_php等所有主流运行模式。漏洞可导致未授权RCE，官方已推出8.2.35/8.3.36/8.4.27/8.5.12等修复版本。宝塔面板同步支持升级，同时提供临时缓解配置建议。老旧版本（如8.1及以下）已无官方补丁，需尽快迁移。
PHP 紧急安全预警｜两个严重 RCE 漏洞（CVE-2026-109618、CVE-2026-109619）
2026 年 10 月 21 日，PHP 官方发布紧急安全更新，修复两个高危远程代码执行漏洞，CVSS v4.0 评分均为 9.2 分，风险等级严重。攻击者无需身份验证，构造特殊请求即可实现远程代码执行，接管服务器。
漏洞说明
CVE-2026-109618：内存耗尽 OOM 异常处理缺陷，内部数据未初始化，清理阶段被异常调用，触发 RCE。
CVE-2026-109619：请求全局状态残留，内存释放后脏数据遗留，同一个进程处理下一个请求时触发 RCE。
影响环境：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed。
重点提醒：Apache mod_php 模式风险最高，已有 POC 可在网站代码运行前直接触发漏洞。
官方修复版本
PHP 8.2 → 8.2.35
PHP 8.3 → 8.3.36
PHP 8.4 → 8.4.27
PHP 8.5 → 8.5.12
宝塔面板已同步上线安全版本，可直接在面板升级。
宝塔升级步骤
登录宝塔面板，进入【软件商店 - 已安装】
找到网站正在使用的 PHP 版本，进入管理页
检查更新，升级至对应安全版本
升级完成核对版本，测试网站、上传、数据库等业务功能
⚠️ 升级前务必备份网站和配置；一台服务器多版本 PHP，全部逐一核查，不要漏掉还在运行的旧版。
⚠️ PHP8.1 及更早版本官方已经停止维护，无官方补丁，建议尽快迁移到受支持版本；7.4/8.0/8.1 补丁宝塔正在跟进更新，请持续关注。
临时缓解方案（仅降风险，不能替代升级）
👉 针对 CVE-2026-109619
php.ini 修改：
session.upload_progress.enabled = 0
PHP8.5 额外加：
fatal_error_backtraces = 0
保存后重启 PHP 服务。
👉 针对 CVE-2026-109618
调整 POST 大小限制：
无大文件上传：post_max_size = 8M
需要上传：post_max_size = 32M
upload_max_filesize 小于 post_max_size，按需调整。
memory_limit=-1 可降低该漏洞利用条件，但会取消 PHP 内存限制，不建议小白直接用，需要配合容器 cgroup 资源隔离。
同时建议在 Nginx/Apache 代理层限制请求体、参数数量，加固防线。
安全建议
优先升级！临时配置只是缓解，只有升级补丁才能彻底修复漏洞
更新后全面验证业务，重点测试上传、表单、接口
持续监控 web 日志、PHP 错误日志、异常进程
老旧 PHP 版本尽快规划迁移，避免长期裸奔
自己不会操作、担心升级出问题、怕网站崩的朋友，可以找程序员老狼，唯一客服，可帮忙处理本次PHP漏洞升级加固业务。
扫一扫
1134
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
