一、漏洞紧急概述

2026年10月20日，PHP官方安全团队发布重大安全预告，将于北京时间10月21日22:00（UTC 14:00） 推送紧急安全更新，一次性修复 2个PHP核心高危远程代码执行（RCE）漏洞。

本次曝光的两个漏洞编号为 CVE-2026-109618、CVE-2026-109619，均采用CVSS v4.0评分，危险评分高达9.2分，属于严重高危漏洞，漏洞危害等级极高，可被攻击者利用实现远程代码执行，完全接管服务器权限，对所有搭载PHP环境的网站、服务器、业务系统造成致命威胁。

目前漏洞细节已出现提前泄露情况，野外攻击利用代码大概率会快速扩散，所有PHP运维、站长、企业技术团队需立即开展自查加固。

二、漏洞核心危害

1. 高危RCE远程代码执行
攻击者可通过构造恶意请求，利用漏洞绕过权限限制，在目标服务器上执行任意PHP代码、系统命令，直接控制网站后台、服务器系统。
2. 全量数据泄露与篡改
入侵成功后，攻击者可窃取网站数据库数据、用户隐私信息、业务源码，同时篡改页面内容、植入后门木马、挂黑链，造成数据泄露、业务瘫痪、网站被黑等严重事故。
3. 无前置防护门槛
漏洞无需复杂权限，公网可直接利用，适配绝大多数主流PHP运行环境，覆盖个人站点、企业官网、商城系统、后台管理系统、各类PHP开源程序，攻击面极广、爆发速度快。
4. 影响范围全覆盖
漏洞存在于PHP核心底层，所有未修复的PHP版本均受影响，无论Windows、Linux服务器，宝塔、LNMP、OneinStack等主流集成环境均无法豁免。

三、紧急临时加固方案（立即操作）

在官方正式发布修复版本、完成环境升级之前，所有服务器必须立刻执行临时配置加固，封堵漏洞攻击入口，规避实时被入侵风险。

操作步骤：修改 php.ini 配置文件

找到服务器对应的  php.ini  配置文件，新增/修改以下两项关键配置：

ini

关闭上传进度会话功能，封堵核心攻击链路

session.upload_progress.enabled=0

开启会话严格模式，防止会话伪造劫持

session.use_strict_mode=1
 

环境适配说明

1. 宝塔面板用户：软件商店-PHP-配置文件，直接修改对应版本php.ini；
2. LNMP/手动编译用户：通过 php --ini 查找配置文件路径，编辑生效；
3. 多版本PHP环境：所有运行中的PHP版本均需统一修改配置，不可遗漏。

生效操作

修改完成后，重启PHP-FPM、Nginx/Apache服务，重启后务必访问网站前台、后台，核验业务是否正常访问，避免配置冲突导致业务异常。

四、正式修复计划（重点执行）

1. 修复时间：2026年10月21日 22:00（北京时间），PHP官方发布修复版本；
2. 核心操作：官方更新发布后，第一时间升级服务器PHP至最新安全版本；
3. 前置准备

• 立即备份服务器网站源码、数据库、配置文件，防止升级出错导致数据丢失；
• 统计服务器所有PHP版本、运行站点清单，做到全覆盖升级；
• 升级完成后，删除临时加固配置（可选），或保留配置提升环境安全性。

五、运维自查与防护建议

1. 全面版本排查
批量检测服务器PHP版本，确认是否处于漏洞影响范围，杜绝漏检、漏改、漏升级。
2. 临时隔离高危业务
对外核心业务、重要后台系统，可临时限制IP访问，减少公网暴露攻击风险。
3. 开启安全防护
已部署WAF、雷池、防火墙等防护设备的服务器，开启全网攻击拦截规则，实时监控异常请求、恶意代码执行行为。
4. 全程日志监控
近期重点监控网站访问日志、服务器系统日志，排查是否存在可疑入侵、恶意请求记录，发现异常立即处置。

六、总结

本次PHP双高危漏洞评分极高、利用门槛极低、危害破坏性极强，且漏洞细节已泄露，攻击风险呈指数级上升。

所有PHP站点运维人员务必重视：先修改配置临时止血、备份数据，今晚22点跟随官方更新，第一时间完成版本升级，全方位规避服务器被入侵、数据泄露、业务瘫痪风险。

官方公告地址：https://www.php.net/index.php#2026-10-20-1
后续将持续跟进官方修复细则，同步适配各集成环境升级教程。