近日 PHP 官方发布紧急安全公告，披露了两个严重程度高达 CVSS 9.2 的远程代码执行（RCE）漏洞，影响包含 PHP 8.2、8.3 在内的多个主流分支。并且已经于2026年10月21日晚发布了修复后的 PHP 版本。本文将简要分析漏洞风险，并为你提供不同服务器环境下平滑升级 PHP 的详细操作指南。
PHP 官方发布 CVSS 9.2 紧急补丁：
2026 年 10 月21日，PHP 官方安全团队紧急推送了一批安全修复更新，修复了两个严重的未经身份验证远程代码执行（Unauthenticated RCE）漏洞：
- CVE-2026-109618（内存溢出破坏漏洞）
- CVE-2026-109619（全局状态残留漏洞
这两个漏洞的 CVSS v4.0 评分高达 9.2 分，影响范围覆盖了几乎所有常见的 Web 运行环境（如 PHP-FPM、Apache mod_php、LiteSpeed、FrankenPHP 等）。攻击者在特定条件下，无需登录即可触发恶意代码执行，严重威胁服务器安全。 官方已紧急发布了修复补丁版本：
- PHP 8.2 用户需升级至 8.2.35 或以上
- PHP 8.3 用户需升级至 8.3.36 或以上
- PHP 8.4 用户需升级至 8.4.27 或以上
- PHP 8.5 用户需升级至 8.5.12 或以上
对于大部分站长和运维人员来说，最彻底、最安全的解决办法就是尽快将服务器上的 PHP 升级到最新的安全版本。
升级 PHP 前的准备工作
在执行任何服务器升级操作前，请务必做好以下防护措施，防止因版本变动导致网站业务中断：
- 全站与数据库备份：通过快照、WP Panel备份、宝塔备份或 mysqldump 备份完整数据。
- 检查插件/主题兼容性：如果是 Typecho 站点，请确保核心及插件均已更新到最新版（特别是 PHP 8.2/8.3 跨版本升 8.4 时）。
- 记录旧版 php.ini 配置：重点记录 uploadmaxfilesize、memory_limit、opcache 以及扩展加载项（如 Redis、Swoole 等），防止升级后配置被覆盖。
不同环境下升级 PHP 的操作指南
WP Panel面板
如果你使用的WP Panel并且配置了告警通知，那么面板会自动提醒你系统存在更新，登录WP Panel后台的设置界面，在系统更新处点击一键更新按钮即可完成修复。（如果没有出现，就手动点击刷新让系统检测更新后再更新）
更新完毕后，在软件管理界面，看到PHP版本变为8.3.36，则代表已经成功修复这两个bug。
宝塔面板
不得不说宝塔面板还是很爱我们的据说凌晨两三点还在更新，并且低版本php也会进行修复和维护
如果你使用的是宝塔或面板，升级步骤如下：
- 软件商店更新：登录面板，进入【软件商店】，先点击右上角的“更新软件列表”按钮刷新，然后在你使用的PHP版本后面点击更新按钮。
- 跨大版本替换（如 7.0 升至 8.3）：如果你之前使用的老版本PHP，不在本次更新修复范围内，那么最好是直接安装修复后的版本，先卸载老版本PHP，然后安装修复后的新版本PHP，接着进入网站管理界面切换PHP版本为新版本（老网站的话切换PHP版本大概率有兼容问题需要额外修复）
Debian / Ubuntu 系统（PPA / 官方源）
使用 Linux 原生包管理器的服务器，可以直接通过官方源进行补丁覆盖升级： Bash
# 1. 更新软件包列表
sudo apt update
# 2. 检查是否有 PHP 可更新版本
apt list --upgradable | grep php
# 3. 升级所有 PHP 相关软件包
sudo apt --only-upgrade install "php8.3*"
# 4. 重启 PHP-FPM 与 Web 服务器
sudo systemctl restart php8.3-fpm
sudo systemctl restart nginx
Docker 容器化环境
如果你的应用部署在 Docker 或 Docker Compose 中，修复漏洞更加简单：
- 打开 docker-compose.yml 或 Dockerfile。
- 将 PHP 镜像版本拉取调整为最新小版本（如 php:8.3-fpm-alpine）。
- 执行拉取与重构：Bashdocker compose pull docker compose up -d --build
升级后的验证与检查
升级完成后，可以通过以下两种方式验证修复是否生效：
- 命令行查看版本：
Bashphp -v确认输出的版本号已达到或高于 8.3.36（或对应分支的安全版本）。 - 检查
FPM /探针输出： 创建一个临时info.php文件（测试完请立即删除）：PHP<?php phpinfo(); ?>在浏览器访问，确认网页端环境加载的确实是新的 PHP-FPM 版本，且相关扩展（如 Redis OPcache）正常开启
临时缓解方案
如果由于业务依赖原因暂时无法立即升级 PHP 核心，可以先调整配置以降低攻击风险：
- 关闭
session上传进度功能（缓解 CVE-2026-109619）： 在php.ini中设置：Ini, TOMLsession.upload_progress.enabled = 0 - 合理限制请求体大小（缓解 CVE-2026-109618）： 限制
post_max_size为合理数值（如 16M 或 32M），并在Nginx / Apache层限制client_max_body_size，防止超大请求直接打到 PHP 进程。
总结
随着 AI 的发达，越来越多以前没有发现的漏洞被发现， 就像我们使用的WordPress应该是全球比较大的博客系统了，用的也是PHP，所以即便你网站本身没有安全问题，但是你没有安装修复本次漏洞的 PHP 版本，那么网站也可能被黑客入侵，所以为了您的网站着想，请进行升级修复，避免影响到自己网站的运营
- 注意：本站资源多为网络收集和用户投稿，如涉及版权问题请及时与站长联系，我们会在第一时间内删除资源。
- 您购买的只是资源，不提供解答疑问和安装服务。免费源码里的接口不保证一直可以用
- 本站用户发帖仅代表本站用户个人观点，并不代表本站赞同其观点和对其真实性负责。
- 本站资源大多存储在云盘，如发现链接失效，请及时与站长联系，我们会第一时间更新。
- 转载本网站任何内容，请按照转载方式正确书写本站原文地址
- 如果发现侵权可以联系站长删除,站长vx：xiaoxiongmao0504或者邮箱通知3326096692@qq.com
