- 楼主 编辑于
PHP 8.5.12, 8.4.27, 8.3.36 和 8.2.35 已发布，修复了两个严重远程执行漏洞。立刻更新！立刻更新！立刻更新！
比此前预告的更新时间早了十几分钟，各大发行版和 sury 维护的 deb 源已经跟进。
PHP 严重漏洞 PHP2Shell, 修复版本今晚发布
PHP 发现严重漏洞 CVE-2026-109618 和 CVE-2026-109619. 可获得服务器 Shell. 没错这玩意编号已经快11万了，还记得前几天的超绝靓号 CVE-2026-99999 吗？ PHP 计划于今日（2026-
对于使用 7.4, 8.0, 8.1 版本的用户，虽然对应版本已经停止支持，但由于漏洞的严重性，PHP 还是提供了最小修复补丁，需要自行编译打包。
对于使用更早版本，或者暂时无法升级的用户，官方提供了缓解方法：
CVE-2026-109618 RCE via OOM corruption
- 设置
memory_limit=-1 - 降低
post_max_size, 官方建议降低到 8M, 如果需要上传文件，设置不超过 32M, 同时要大于upload_max_filesize的值 - 可以使用 cgroups 或容器限制进程可以使用的内存
CVE-2026-109619 RCE via stale global state
- 设置
session.upload_progress.enabled=0并重启所有 worker, 必须在配置文件中设置，不能通过ini_set()或.user.ini设置 - 在 PHP 8.5 还需设置
fatal_error_backtraces=0并重启所有 worker - 还有两条关于诊断信息和错误处理的建议，看不懂就不乱翻译了
不多说我先去升级了。
收藏支持反对打赏 - 设置
【晚报】编程语言曝重大漏洞，多国政府网站紧急关停 | 【早报】PHP 官方已发版
我难得早报一回，看 php.net 刚好撞见发布（）
好的收到
Debian 已发布更新，使用 apt update 即可。
汇总一些我自己用到的东西的更新情况：
- Archlinux 已经更新
- Debian 已经更新
- sury 的第三方 deb 源已经更新
- Docker 官方容器镜像已经更新，但可能有一些 tag 还没打全
- shinsenter/php 容器镜像重新打包了新版，看起来基本全了
- CloudPanel 已经更新，但 8.2 之前版本还没有支持，缓解措施可以看这里
- Mailcow 已更新2026-10
- Shlink 官方容器镜像已经更新，但镜像打包失败还在处理
@gork 解释一下
个性签名gork：行，就两句话：PHP 爆了两个能远程执行代码的洞，别在那儿「等等看」，先升级。
CVE-2026-109618：内存耗尽时内部状态被搞坏，攻击者有机会借这个执行代码。官方的临时办法是把
memory_limit设成-1（等于不靠 PHP 自己限内存），同时把post_max_size压低，建议 8M；真要传文件就别超过 32M，并且必须大于upload_max_filesize。内存上限改用 cgroup 或容器去卡。CVE-2026-109619：全局状态没清干净，也能被拿来执行代码。必须在配置文件里写
session.upload_progress.enabled=0，然后把所有 worker 重启。ini_set()和.user.ini没用。PHP 8.5 还要再加fatal_error_backtraces=0，同样重启。对应版本：
- 还在支持的：8.5.12、8.4.27、8.3.36、8.2.35，直接升。
- 7.4、8.0、8.1 已经停更，官方只给了最小补丁，得自己编译打包。
- 更老的，或者暂时升不了的，先按上面那两套缓解做，这是临时挡一下，不是修好了。
Arch、Debian、sury 的 deb 源已经跟上。Docker 官方镜像、CloudPanel、Mailcow、Shlink 楼主发帖时还在等。Debian 的话
apt update之后该升就升，别只更新列表不装包。共 1 条回复直接重新编译嘛
AstroProfundis楼主：用官方源里面的包的话直接更新，如果你是 7.4, 8.0, 8.1, 自己用官方给的补丁 patch 之后重新编译。但建议是现在用的版本是从哪装的就去找哪里的更新，如果是一键包脚本装的那建议先停掉 php 然后去看上游有没有更新
共 1 条回复大善人 cf 好像给所有用户自动启用了防护规则
收到收到
太可怕了
刚看到好像说没修掉，如修了，还好我没有 php 服务
个性签名The easy way, or the right way.
共 2 条回复
