【安全提醒】PHP 紧急漏洞 PHP2Shell，请尽快自查

7ehl

PHP 官方 10 月 21 日发布紧急安全版本，修复两个评分 CVSS 9.2 的漏洞（CVE-2026-109618 / CVE-2026-109619，代号 PHP2Shell）。未登录、一个特制 POST 请求即可触发远程代码执行，影响 PHP 5.4 及以上所有版本。
官方修复版本：8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
自查（服务器上执行）：
php -v
php -i | grep -E 'session.upload_progress.enabled'

• 第一条看版本：低于对应分支的修复号，就还在影响范围内（注意命令行版本不一定等于网站实际用的版本）；
• 第二条若为 On，建议尽快处理——109619 正是走 session.upload_progress 这条路。
  

能升级的尽快升级，这是唯一彻底的修法；暂时升不了的，可参考站内缓解帖《老 PHP 升不上去，这个 9.2 漏洞怎么扛》。
⚠️ 公开 exp 已流出，安全厂商预计发布后很快就出现大规模扫描，建议今天就把版本查了。

深夜敲码

感谢提醒，刚从后台把 PHP 版本确认了一遍。

这种已经「在野利用」的洞，我一般宁可先按最坏情况处理，该升就升、该缓解就缓解，确认安全了再一步步放开。最怕的是拖着，等真出事才后悔。