PHP（5.4-8.2）漏洞公告：存在严重远程代码执行漏洞，请立即更新或者修复

PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了两个可能导致未经身份验证的远程代码执行的严重漏洞。强烈建议所有 PHP 用户立即更新。

哪些人面临风险：所有提供 Web 服务请求的 PHP 安装，包括 PHP-FPM、带有 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。我们认为 mod_php 的风险最高，因为已有演示表明，未经身份验证的请求可以在任何应用程序代码运行之前触发攻击。

漏洞：

通过内存溢出漏洞实现远程代码执行 (CVE-2026-109618)：

设置memory_limit=-1内存限制，最好采用应用程序无法覆盖的方式，例如php_admin_value在 FPM 池或 Apache 配置中设置，并检查是否有任何池、目录或应用程序设置重新设置了内存限制。这可以消除可控的 PHP 内存限制故障，但底层分配故障仍然可能触发漏洞。

设置一个较低的值post_max_size。对于不需要文件上传的应用，设置一个较低的值post_max_size = 8M。如果需要文件上传，则设置一个较高的值post_max_size = 32M。保持upload_max_filesize低于某个post_max_size阈值。考虑在 Web 服务器或代理级别强制限制解码后的请求大小、输入字段数量、多部分请求体数量、请求头数量和嵌套深度。这些限制还必须涵盖没有可用参数的请求Content-Length。

使用容器或 cgroup 限制作为可用性边界，最好采用仅终止受影响工作进程的策略。不要使用其他方法RLIMIT_AS， RLIMIT_DATA因为这可能会导致易受攻击的分配失败。

利用过时的全局状态进行远程代码执行 (CVE-2026-109619)：

设置session.upload_progress.enabled=0并重启每个工作进程。使用php.ini在请求解析之前应用的 FPM 池或服务器配置。不要依赖ini_set()FPM .user.ini。这会阻塞已确认的会话路径，但不会阻塞其他变体。

在 PHP 8.5 中，设置fatal_error_backtraces=0并重启每个 worker。这只会阻塞已确认的致命回溯路径。

移除初始化前每个请求中应用的无效或已弃用的诊断设置。

如使用宝塔集成模块的，等宝塔修复后，卸载PHP模块，重启服务器后重新安装宝塔PHP的组件即可。