PHP 项目发布了紧急安全修复，解决了两个漏洞：CVE-2026-109618 和 CVE-2026-109619，统称为 PHP2Shell。这两个漏洞的 CVSS v4.0 评分均为严重的 9.2 分，意味着未经授权的用户可以在无需登录的情况下，在存在漏洞的 Web 服务器上远程执行代码。
因此，许多组织正计划进行 PHP 升级。本文介绍了在进行 PHP 升级之前需要考虑的事项，以确保您的 Nagios 软件继续正常工作。
Nagios XI 及其他基于 Web 的产品（包括 Nagios Fusion）运行在您服务器上安装的 PHP 版本上，因此应用 Linux 供应商提供的 PHP 安全更新非常重要。
Nagios 软件在初次安装时，依赖操作系统供应商安装的 PHP 基础版本。以下内容主要针对 Nagios XI，但也适用于其他软件。
例如，RHEL 8 安装的是 PHP 7.2，RHEL 9 安装的是 PHP 8.0，Ubuntu 24.04 LTS 安装的是 PHP 8.3。
截至 2026 年 10 月 1 日，软件的当前版本要求最低 PHP 7.4，并已在 PHP 8.4 上完成开发和测试。
如何检查您的系统
检查您的 PHP 包是否包含 PHP2Shell 修复。
基于 RHEL 的系统
text
rpm -q --changelog php-common | grep -i CVE-2026-1096
如果该命令返回 CVE-2026-109618 和 CVE-2026-109619，则说明您的 PHP 包已包含修复。如果没有任何返回，请应用 Linux 供应商最新的 PHP 更新，然后再次检查。
Debian 系统
Debian 12
text
apt list | grep php8.2-common
如果版本为 8.2.35-1~deb12u1，则已包含补丁。
Debian 13
text
apt list | grep php8.4-common
如果版本为 8.4.27-1~deb13u1，则已包含补丁。
Ubuntu 系统
Ubuntu 22
text
apt list | grep php8.1-common
如果版本为 8.1.2-1ubuntu2.28，则已包含补丁。
Ubuntu 24.04
text
apt list | grep php8.3-common
如果版本为 8.3.6-0ubuntu0.24.04.13，则已包含补丁。
示例输出（RHEL 9）
text
[root@nagios-xi ~]# php --versionPHP 8.0.30 (cli) (built: Oct 21 2026 15:47:44) ( NTS gcc x86_64 )Copyright (c) The PHP GroupZend Engine v4.0.30, Copyright (c) Zend Technologies with Zend OPcache v8.0.30, Copyright (c), by Zend Technologies[root@nagios-xi ~]# rpm -q --changelog php-common | grep -i CVE-2026-10961 CVE-2026-109618, CVE-2026-109619
保护您安装环境的选项
请选择适合您情况的选项。对于大多数 PHP2Shell 相关问题，应用 Linux 供应商的安全更新是最快、最安全的路径。
如果您因安全或漏洞问题需要升级 PHP
请记住，Linux 供应商会将安全修复回溯移植到他们发布的 PHP 版本中，因此版本号较旧并不一定意味着您的系统存在漏洞。请使用上述检查方法，或咨询您的 Linux 发行版供应商，以确定是否需要升级 PHP 版本。
如果您需要在同一大版本内升级 PHP
Nagios 强烈建议不要从一个 PHP 大版本升级到另一个大版本（例如，从 PHP 7.x 升级到 PHP 8.x）。
例如，如果您在 RHEL 8 上运行 Nagios XI，使用 PHP 7.2，您可以升级到 7.4 至可用的最高 PHP 7.x 版本，但不要升级到 PHP 8.0 或更高版本。
当 Nagios 执行初始软件安装时，它依赖于该发行版附带的所有组件的大版本。将 PHP 升级到不同的大版本可能会导致软件以及操作系统本身出现问题。
如果您需要将 PHP 升级到更高的大版本
为保持已安装的 Nagios 软件的完整性，请将您的 XI 实例迁移到安装了所需 PHP 大版本的较新 Linux 发行版。
例如，如果您在 RHEL 8 上运行 PHP 7.4，并希望升级到 PHP 8.3，请备份您的 XI 实例，并将其恢复到新的 RHEL 9 或 RHEL 10 系统上。然后在新实例上执行 PHP 升级到 PHP 8.3。
在任何 PHP 升级之前
在生产环境之前，务必在测试环境中执行所有 PHP 升级，并对虚拟机进行快照或克隆，以便在遇到问题时可以回滚。
进行 PHP 升级后，请确保为新版本安装最新的 SourceGuardian 加载器。
END
公司名称：北京哲想软件有限公司
北京哲想软件官方网站：cogitosoft.com
北京哲想软件微信公众平台账号：cogitosoftware
北京哲想软件微博：哲想软件
北京哲想软件邮箱：sales@cogitosoft.com
销售（俞先生）联系方式：+86（010）68421378
微信：18610247936 QQ：368531638
