如你使用宝塔管理服务器，请在宝塔面板左侧>>软件商店里升级更新PHP。
宝塔官方已经对一些PHP的版本进行了升级，但不是所有，陆续在升级，需要你关注,这是宝塔官网的升级进度通告:https://docs.bt.cn/notices/php-nodejs-security-update-2026-10-21/?utm_source=btpanel
PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了两个可能导致未经身份验证的远程代码执行的严重漏洞。强烈建议所有 PHP 用户立即更新。
哪些人面临风险：所有提供 Web 服务请求的 PHP 安装，包括 PHP-FPM、带有 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。我们认为 mod_php 的风险最高，因为已有演示表明，未经身份验证的请求可以在任何应用程序代码运行之前触发攻击。
漏洞：
- 通过内存溢出 (OOM) 漏洞实现远程代码执行 (RCE)，CVE-2026-109618 ( GHSA-w8hw-w9fx-j79w )：内存溢出处理程序可能会在内部请求数据尚未完全初始化时中断 PHP 的执行。请求清理程序随后可能会将无效数据视为有效数据。
- 利用过时的全局状态进行远程代码执行 (RCE)，CVE-2026-109619 ( GHSA-6wmf-4rv5-p3rp )：请求拥有的内部状态在其底层内存被释放后仍然存在。同一工作进程处理的后续请求可能会在正常初始化重置该过时状态之前使用它。
如何更新：
- 请更新至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35 版本。源代码下载请访问我们的下载页面。Windows 源代码和二进制文件也在同一页面上。
- Linux 发行版和 LTS 供应商已提前收到补丁，请向您的供应商查询更新的软件包。
- PHP 8.1 及更早版本已停止接收 PHP 项目提供的更新。部分发行版和长期支持 (LTS) 供应商会提供向后移植的修复程序，详情请联系您的供应商，或升级到受支持的版本。
- 鉴于这些漏洞的严重性，PHP 安全团队为PHP 7.4、PHP 8.0和PHP 8.1提供了最小的源代码向后移植，以帮助从源代码构建或无法访问 LTS 供应商的人们。
如果您无法立即更新：虽然只有更新才能彻底解决问题，但以下措施可以减少特定攻击途径带来的风险，但并不能保证安装安全。
通过内存溢出漏洞实现远程代码执行 (CVE-2026-109618)：
- 设置
memory_limit=-1内存限制，最好采用应用程序无法覆盖的方式，例如php_admin_value在 FPM 池或 Apache 配置中设置，并检查是否有任何池、目录或应用程序设置重新设置了内存限制。这可以消除可控的 PHP 内存限制故障，但底层分配故障仍然可能触发漏洞。 - 设置一个较低的值
post_max_size。对于不需要文件上传的应用，设置一个较低的值post_max_size = 8M。如果需要文件上传，则设置一个较高的值post_max_size = 32M。保持upload_max_filesize低于某个post_max_size阈值。考虑在 Web 服务器或代理级别强制限制解码后的请求大小、输入字段数量、多部分请求体数量、请求头数量和嵌套深度。这些限制还必须涵盖没有可用参数的请求Content-Length。 - 使用容器或 cgroup 限制作为可用性边界，最好采用仅终止受影响工作进程的策略。不要使用其他方法
RLIMIT_AS，RLIMIT_DATA因为这可能会导致易受攻击的分配失败。
利用过时的全局状态进行远程代码执行 (CVE-2026-109619)：
- 设置
session.upload_progress.enabled=0并重启每个工作进程。使用php.ini在请求解析之前应用的 FPM 池或服务器配置。不要依赖ini_set()FPM.user.ini。这会阻塞已确认的会话路径，但不会阻塞其他变体。 - 在 PHP 8.5 中，设置
fatal_error_backtraces=0并重启每个 worker。这只会阻塞已确认的致命回溯路径。 - 移除初始化前每个请求中应用的无效或已弃用的诊断设置。使用 `–hash-extends` 或 `–hash-extends` 隐藏诊断信息
error_reporting并无display_errors帮助@。 - 修复攻击者可触及的致命错误和执行超时，包括回调、上传或导入处理和清理中的失败。
以上链接中的公告包含了完整的技术细节。
