PHP 官方已于 2026 年 10 月 21 日 22:00（北京时间）发布修复版本。该漏洞位于 PHP 解释器内核，攻击者无需登录即可在应用代码执行前触发，以 Web 服务进程权限执行任意命令。为杜绝被批量扫描利用的风险，我们已暂停对外服务并启动运行时升级。
我们在例行安全巡检中捕获到 PHP 运行时的严重风险，涉及 CVE-2026-109618 与 CVE-2026-109619（业界代号 php2shell）。 由于漏洞触发发生在业务代码执行之前，应用层防护无法拦截，唯一彻底的修复方式是在 PHP 运行时层面完成升级。为此我们已主动切断公网访问，正在完成补丁部署、配置加固与全量复测。
参考来源： PHP 官方安全公告 · CERT-EU 2026-018 · 公告时间 2026-10-21 22:00 (UTC+8)
捕获官方预警与在野利用情报，确认 PHP 运行时存在未授权远程代码执行风险。
切断公网访问并切换静态节点，完成数据库与站点文件全量备份、快照归档。
升级 PHP 至官方修复版本，同步关闭 session.upload_progress 等攻击面，收紧请求体与内存限制。
执行漏洞复测、日志审计与入侵痕迹排查，确认进程无异常后恢复对外访问。
| PHP 分支 | 需升级至 | 支持状态 |
|---|---|---|
| PHP 8.5.x | 8.5.12 | 官方已修复 |
| PHP 8.4.x | 8.4.27 | 官方已修复 |
| PHP 8.3.x | 8.3.36 | 官方已修复 |
| PHP 8.2.x | 8.2.35 | 官方已修复 |
| PHP 8.1 及更早 | — | 已停止支持 · 建议迁移 |
漏洞位于 PHP 解释器本身，与网站程序写得好不好无关。攻击者构造特制请求即可：
官方评级严重（CVSS v4.0 9.2），PHP 官方已督促全部用户立即升级。
session.upload_progress.enabled=0 临时收敛攻击面post_max_size 与进程最小权限策略