两个9.2分漏洞波及PHP 5.4以来版本，官方急发补丁|php|代码|应用程序|服务器|版本号|软件包

一个不需要登录的请求，就能在服务器上跑代码。PHP 官方这次发的不是常规更新，是紧急补丁。

修复版本是 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 团队的说法很直接：只有升级，才能完整保护一台服务器。

两个漏洞合称 PHP2Shell，位置在 PHP 运行时本身，不在任何应用里。也就是说，站点自己的代码写得再干净，只要 PHP 版本没升，风险照样在。影响范围覆盖到 PHP 5.4 以来的几乎所有版本。

两个漏洞在 CVSS v4.0 评分中都是 9.2，编号为 CVE-2026-109618 和 CVE-2026-109619。PHP 在 10 月 21 日 14:00 UTC 的预定发布时间前后公布了它们，比原计划的 10 月 22 日披露提前了一天——因为细节提前泄露了。

哪些部署最危险

按 PHP 安全公告，所有处理 Web 请求的 PHP 安装都在风险范围内，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。

公告单独点名 mod_php 风险最高：已有演示过的利用方式，单个未认证请求会在任何应用代码执行之前触发攻击。PHP-FPM 的表现不同，请求在初始化早期失败时，工作进程会被关掉。

两个漏洞的情况也不完全一样。其中一个，PHP 自己的分析认为 FPM 存在易感性，但没有完整的 FPM 利用被展示出来；另一个已被证明能在 mod_php 和 PHP-FPM 上到达代码执行，不过 FPM 那条路径依赖运行中应用内部的一次操作。

还有一条不需要先拿到代码执行的能力：攻击者可以读取 PHP 工作进程的内存。那块内存里可能有其他请求的密码、认证令牌、API 密钥和证书。研究者在不被自己控制的应用程序上演示了这种读取，说明它和 PHP 之上跑的是什么应用无关。

该装什么、别装错什么

要更新的是处理 Web 请求的 PHP 运行时，然后重启 Apache、PHP-FPM 以及所有长期运行的 PHP 工作进程。

更新 WordPress 或 Laravel 这类应用，并不会更新底下的 PHP 运行时——那来自服务器软件包、主机商或容器镜像。

PHP 8.1 及更早版本已不再从 PHP 项目获得更新，PHP 8.2 将在 2026 年 12 月 31 日停止支持。针对更老的分支，PHP 安全团队发布了 PHP 7.4、8.0、8.1 的源码回溯补丁，供自行编译或等待厂商的人使用。

Linux 发行版和长期支持厂商提前拿到了补丁，所以发行版软件包可能顶着旧版本号却已含修复。按 Debian 的建议，查软件包变更日志里的 CVE 编号，别只看版本字符串。

暂时升不了怎么办

只有升级才是完整修复。以下措施只降低特定攻击路径的暴露面，不能让服务器变安全。

针对 CVE-2026-109618：设置 memory_limit=-1，让应用无法覆盖它；把 post_max_size 保持得低一些；在 Web 服务器或代理层强制请求大小限制。不要用 RLIMIT_AS 或 RLIMIT_DATA 替代，PHP 警告它们可能触发同一条脆弱路径。
针对 CVE-2026-109619：设置 session.upload_progress.enabled=0 并重启每个工作进程；在 PHP 8.5 上还要设置 fatal_error_backtraces=0。关掉会话上传进度能挡住已确认的会话路径，但挡不住其他变体，除了升级，没有任何配置改动能完整缓解这个漏洞。

那个设置正是补丁发布前流传的临时方案，发布信息确认它从来不是完整修复。会话上传进度默认开启，能在 PHP 完成请求初始化之前触达会话处理，这就是它参与 CVE-2026-109619 一条已确认攻击路径的原因，也是它对 CVE-2026-109618 毫无作用的原因。

PHP 核心开发者 Gina Peter Banyard 在发布前写道：“我唯一能说的是，唯一的缓解办法就是打补丁/升级 PHP。遗憾的是我知道得太多了。”当时有人提出那个设置也许够用。

升级之后还要复查内存设置。修复引入了一个新的硬内存上限，触顶会终止进程并让关闭处理器不再运行，所以要对照应用的实际需要检查 memory_limit 和 post_max_size。

如果已经打了补丁但怀疑此前被入侵，研究者建议留意：异常的多部分请求之后跟着内存上限错误或反复出现的 HTTP 500 响应、异常大的 PHPSESSID 响应 Cookie、以及无法解释的 PHP 工作进程重启。

已经在被攻击了吗

补丁发布前，Cloudflare 表示已看到早期利用尝试。Cloudflare CTO Dane Knecht 说：“我们看到早期攻击正在出现，并随着新向量出现更新缓解措施。”他把 Cloudflare 部署的防火墙规则称为权宜之计，并敦促管理员打补丁。

目前没有来源确认有成功入侵。复现了 CVE-2026-109618 的 watchTowr 报告，截至 10 月 21 日 11:26 UTC 未发现野外利用；当时两个漏洞都不在 CISA 的已知被利用漏洞目录中。

一些机构是预防性下线，不是遭遇了入侵。BambooHR 在美国、加拿大和爱尔兰下线了服务，警告薪资发放会中断，并表示尚没有恢复时间。

在荷兰，据广播机构 NOS 报道，MijnOverheid、DigiD、议会下院网站、国家网络安全中心和多个教育系统下线；该中心表示未发现漏洞被滥用，但敦促所有人打补丁。

漏洞是怎么提前曝光的

一次泄露把发布拉到了前面。据 The Hacker News 报道，10 月 20 日 Hacker News 上一条帖子称两个 PHP 远程代码执行漏洞将在 10 月 22 日披露，并给出了两个 CVE 编号，依据不过是一条可信线报。

PHP 当晚发布了预告，把发布提前到 10 月 21 日。泄露信息里说的 CVSS 10.0 不是 PHP 的评分，PHP 给两个漏洞都打 9.2。