【紧急安全公告】PHP 高危远程代码执行漏洞预警（CVSS 9.2）

正文摘要

一、漏洞概述PHP 官方于 2026-10-20 发布预告，存在两项严重安全漏洞：CVE-2026-109618、CVE-2026-109619，CVSS v4.0 评分均为 9.2 分，属于未授权远程代码执行（RCE）漏洞。攻击者可构造恶意请求直接控制服务器，风险等级极高。PHP 官方计划于UTC 时间 10 月 21 日 14:00（北京时间 10 月 21 日 22:00） 发布修复版本，如出现漏洞细节泄露、野外利用等情况，官方有权提前发布补丁。官方地址：https://www.php.net/index.php#2026-10-20-1二、影响范围情报显示 PHP5 及以上版本受影响；仅 PHP 8.2/8.3/8.4/8.5 官方支持分支可获取补丁；PHP5、PHP7 已停止维护，无官方修复包，存量环境风险突出，建议尽快隔离、规划迁移升级。三、临时加固方案（⚠️仅降低攻击面，不可替代补丁升级）在官方版本发布前，可修改php.ini配置做临时防护：session.upload_progress.enabled=0 session.use_strict_mode=1 操作说明：修改完成后，重启 php-fpm、Nginx/Apache 等相关服务；关闭session.upload_progress.enabled会导致文件上传进度功能失效；宝塔面板用户修改后请确认配置生效；宝塔将在官方补丁放出后同步推送更新。补充防护建议：无需上传业务，在 WAF / 反向代理侧限制multipart/form-data类型 POST 请求；开启日志审计，监控 PHP 异常崩溃、陌生文件写入行为；提前完成数据、网站、配置备份，准备回滚方案。四、处置要求补丁发布后，第一时间将 PHP 升级至官方修复版本；升级补丁是唯一根治方案，临时配置存在绕过风险；升级后全面验证业务可用性；PHP5/7 存量环境：限制公网访问、网络隔离，尽快安排业务迁移。五、重要提醒本次临时加固措施仅作为应急缓解手段，无法彻底消除漏洞风险，请各运维人员紧盯官方更新，按时完成升级修复。如有问题，请联系运维安全负�…