PHP 官方于 10 月 21 日发布紧急安全更新，修复两个严重漏洞（CVSS 9.2 高危）：CVE-2026-109618、CVE-2026-109619。攻击者无需任何账号，即可通过构造的网页请求在服务器上远程执行任意代码，可能导致网站被篡改、数据泄露、服务器被控制。

   该漏洞位于 PHP 引擎本身，与网站程序代码无关，只要服务器在用 PHP 跑网站，就受影响。目前漏洞利用工具已在网络流传，公网 PHP 服务器正被大规模自动扫描。

一、哪些环境需要紧急处理

   1. 网站通过公网访问（有公网 IP / 域名对外解析）的，属于高危，请立即处理——攻击者可以直接扫描到你；

   2. 仅公司局域网内部使用、不对外提供访问的环境，被远程利用的风险较低，但也建议尽快升级，不要长期搁置。

二、受影响版本与修复要求

三、宝塔面板（Linux）用户升级方法

   1. 登录宝塔面板 → 软件商店 → 已安装，找到网站正在使用的 PHP 版本；

   2. 如有版本更新提示，直接升级到对应安全修复版本；

   3. 若商店暂无对应小版本更新，可先安装上表中的修复版本（如 8.2），在「网站 → 设置 → PHP 版本」中切换，确认业务正常后卸载旧版本；

   4. 服务器装了多个 PHP 版本的，请逐个检查实际在用的版本，避免遗漏。

四、phpStudy（Windows）用户升级方法

   1. 打开 phpStudy 面板 → 「应用列表」→ PHP 栏，安装上表对应的修复版本（如 php-8.2.35 / php-8.3.36，以 phpStudy 官网实际发布的构建为准）；

   2. 在面板首页将「PHP 版本」切换到新安装的修复版本，重启 Apache/Nginx 服务；

   . phpStudy 自带的小版本若落后于上表基线，请以 phpStudy 官网最新集成包更新为准。

五、暂时无法升级的，请立即做以下缓解配置

   修改 php.ini（宝塔：软件商店 → PHP → 设置 → 配置修改；phpStudy：php 目录下 php.ini），保存后重启 PHP / Web 服务：

   [PHP]

   max_input_nesting_level = 6

   max_input_vars = 1000

   max_multipart_body_parts = 60

   [Session]

   session.upload_progress.enabled = 0

   特别提醒：上述配置只能降低风险，不能修复漏洞。PHP 官方已明确不存在可替代升级的缓解方案，公网暴露的站点最终仍须完成版本升级。

   如需协助排查版本或代为升级，请联系客服获取帮助