赶紧升级！PHP爆出重大安全漏洞，别又把网站不安全怪到WordPress身上了。

由于AI的发达，一些多年没有发现的安全漏洞被发现，近日PHP爆出了两个安全漏洞，并且PHP官方已经于昨日晚发布了修复后的PHP版本，如果你还没有更新，那么抓紧去服务器升级PHP。因为这两个漏洞共同特征是 未经身份验证的远程代码执行。 ## 💥 漏洞影响与危害 本次披露的漏洞涉及两个关键编号，其共同特征是 未经身份验证的远程代码执行（Unauthenticated RCE）： 1. 内存溢出破坏漏洞（CVE-2026-109618） * 原理通俗解释：当请求导致内存不足（OOM）时，PHP 可能会在内部数据尚未初始化完成时被中断，随后清理请求时将无效数据当作有效数据处理，从而引发内存损坏与代码执行。 2. 全局状态残留漏洞（CVE-2026-109619） * 原理通俗解释：上一个请求释放内存后，部分内部状态依然残留。同一工作进程处理下一个请求时，可能误用残留状态，形成越权控制。 > 风险等级：高危（CVSS v4.0 9.2分）影响模式：所有处理 Web 请求的 PHP 运行模式均受影响，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 以及 LiteSpeed。其中，以 Apache mod_php 模式受威胁最大。 ## 🔍 涉及与修复版本 ### 1. 受影响的版本 * PHP 8.2.x（8.2.35 以下） * PHP 8.3.x（8.3.36 以下） * PHP 8.4.x（8.4.27 以下） * PHP 8.5.x（8.5.12 以下） * 注：PHP 8.1 及更早的老旧版本虽已停止常规维护，但官方也特地针对源码提供了极简修复补丁。 ### 2. 安全的目标版本（请升级至此或更高版本） * PHP 8.2.35 * PHP 8.3.36 * PHP 8.4.27 * PHP 8.5.12
## 🛡️ 如何修复与应急防护 ### 彻底修复方案（强烈推荐） 升级 PHP 核心到上述对应的安全版本是唯一的完全解决方案。 * 使用 Linux 系统包（Debian/Ubuntu/CentOS等）：运行包管理器检查更新（如 apt update && apt upgrade 或 yum update）。官方已提前向主要发行版提交了补丁。 * 自定义编译/面板用户：请前往 PHP 下载页面（php.net/downloads）下载最新的源码包进行重新编译安装，或使用面板的升级功能升级至最新的安全版本。
WP Panel面板用户，可以通过面板后台的系统更新功能直接修复。

宝塔面板用户，在宝塔后台，软件列表里面更新软件列表后，对应的PHP会有更新按钮，点击更新即可。 ### 临时缓释措施（若暂无法立即升级） 如果你由于业务原因无法立即重启升级，官方提供了临时降低风险的调整配置（注意：仅能降低风险，无法完全避免风险）： 1. 针对 CVE-2026-109618： * 将 memory_limit 设置为 -1（取消内存限制，建议在 php_admin_value 中配置以防被程序覆盖）。 * 调低 post_max_size（无文件上传需求的站点可设为 8M，有需求的设为 32M）。 2. 针对 CVE-2026-109619： * 在配置文件中将 session.upload_progress.enabled 设为 0，并重启所有 PHP 进程。