[PHP2Shell] PHP 新版已发布，立刻更新！

PHP 8.5.12, 8.4.27, 8.3.36 和 8.2.35 已发布，修复了两个严重远程执行漏洞。立刻更新！立刻更新！立刻更新！

比此前预告的更新时间早了十几分钟，各大发行版和 sury 维护的 deb 源已经跟进。

PHP 严重漏洞 PHP2Shell, 修复版本预计今晚发布 AstroProfundis·技术·184 次阅读·8 条回复·11 小时前

对于使用 7.4, 8.0, 8.1 版本的用户，虽然对应版本已经停止支持，但由于漏洞的严重性，PHP 还是提供了最小修复补丁，需要自行编译打包。

对于使用更早版本，或者暂时无法升级的用户，官方提供了缓解方法：

CVE-2026-109618 RCE via OOM corruption

• 设置 memory_limit=-1
• 降低 post_max_size, 官方建议降低到 8M, 如果需要上传文件，设置不超过 32M, 同时要大于 upload_max_filesize 的值
• 可以使用 cgroups 或容器限制进程可以使用的内存

CVE-2026-109619 RCE via stale global state

• 设置 session.upload_progress.enabled=0 并重启所有 worker, 必须在配置文件中设置，不能通过 ini_set() 或 .user.ini 设置
• 在 PHP 8.5 还需设置 fatal_error_backtraces=0 并重启所有 worker
• 还有两条关于诊断信息和错误处理的建议，看不懂就不乱翻译了

详细说明见官方说明。

不多说我先去升级了。