PHP 漏洞：PHP2Shell 修复与临时缓解PHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

哪些运行环境需要检查？

PHP 公告覆盖处理 Web 请求的安装，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。mod_php 的风险尤其突出。不能仅凭框架、面板或使用 FPM 就认定不受影响。

CVE-2026-109618 ↗

CVE-2026-109619 ↗

上游修复版本

PHP 8.5.12 是 2026-10-21 发布的稳定版，包含上游 PHP2Shell PHP2Shell 修复。该分支仍受其原有支持周期约束。 平台指南 →

PHP 8.4.27 是 2026-10-21 发布的稳定版，包含上游 PHP2Shell PHP2Shell 修复。该分支仍受其原有支持周期约束。 平台指南 →

PHP 8.3.36 是 2026-10-21 发布的稳定版，包含上游 PHP2Shell PHP2Shell 修复。该分支仍受其原有支持周期约束。 平台指南 →

PHP 8.2.35 是 2026-10-21 发布的稳定版，包含上游 PHP2Shell PHP2Shell 修复。该分支仍受其原有支持周期约束。 平台指南 →

PHP 漏洞：旧分支的厂商回补

PHP 项目不再为 EOL 分支发布常规安全版本。厂商可能提供回补，需要独立公告和完整修订号。安排迁移到仍受支持的分支，并测试应用与扩展。

PHP 漏洞：暂时无法升级时

临时缓解不能完整修复 PHP 漏洞。关闭 session 上传进度只能缓解 CVE-2026-109619 已确认的部分路径，不能修复 CVE-2026-109618，也不能排除其他残留状态路径。

session.upload_progress.enabled = Off

在网站运行时使用的配置中、请求解析前生效，并重启全部 PHP worker。不要依赖应用中的 ini_set() 或 FPM 的 .user.ini。修改会停用 PHP 内置的 session 上传进度功能。

cleanup、strict_mode、only_cookies 和 HttpOnly 属于 session 清理或一般加固，不能作为这两个漏洞已修复的证据。官方还讨论请求大小、内存限制与错误回溯设置；取消内存限制有耗尽主机资源的风险。应用其他设置前请阅读公告中的限制并评估可用性影响。

核对时间: 2026-10-21 23:25:00 UTC

厂商来源 ↗

厂商来源 ↗

验证

测试关键请求、登录、上传、日志、定时任务和后台 worker。重启所有处理网站请求的 PHP 进程，并核对每个站点的运行版本。保存软件源和完整修订号记录；EOL 分支还需安排迁移。