PHP 严重漏洞 PHP2Shell, 修复版本预计今晚发布

PHP 发现严重漏洞 CVE-2026-109618 和 CVE-2026-109619. 可获得服务器 Shell.

没错这玩意编号已经快 11 万了，还记得前几天的超绝靓号 CVE-2026-99999 吗？

PHP 计划于今日（2026-10-21) UTC 14:00, 也就是北京时间 22:00 发布新版本，但如果漏洞细节被公开，也可能提前发版。

两个漏洞 CVSS 评分 9.2, 技术细节尚未披露，据称影响从 5.x 开始的所有版本。欧盟机构建议所有系统管理员准备好更新即将发布的补丁，在此之前可以考虑将 PHP 应用与公网隔离（也就是先下线）。

目前可以做的事情：
0. 有未经证实的分析称可以通过在 php.ini 中设置 session.upload_progress.enabled = Off 来缓解漏洞影响。

1. 如果你还在使用 8.1 及以前，包括自 5.4 起的所有版本的 PHP, 立刻升级到 8.2 以上的版本，因为更老版本可能没有补丁
2. 如果一时无法升级，应尽快将该 PHP 应用与公网隔离，只允许受控环境访问，避免被攻击脚本扫到
3. 密切关注 PHP 官方和各发行版动态，新版发布后第一时间升级，预期至少 8.2-8.5 会有修复版本