校属各单位：

PHP是一款广泛使用的开源服务器端脚本语言，大量网站与应用基于其构建。2026年10月21日，PHP爆出远程代码执行漏洞，编号为CVE-2026-109618、CVE-2026-109619。两个漏洞危害等级均为严重（CVSS v4.0 9.2）。攻击者可能通过构造恶意HTTP请求触发漏洞，造成内存数据泄露、远程代码执行等安全风险。针对上述风险，现提示如下：

一、本次安全漏洞影响范围：

此外，该漏洞还影响Magento、WordPress、Drupal、Joomla、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart等基于PHP环境的主流CMS和框架。

官方已停止对PHP 8.1、8.0、7.4及5.x等更早版本的维护。上述版本同样受本次漏洞影响且无官方修复版本，请及时迁移至受支持分支的修复版本（8.2.35、8.3.36、8.4.27、8.5.12 或更高版本）。

二、处置建议

请各单位对自建网站及信息系统开展安全排查，梳理服务器、容器、业务系统及托管环境中的PHP实例，核实使用的PHP版本，优先排查暴露在互联网上的资产及使用已停止维护版本的系统，处置步骤建议如下。

1.确认PHP版本。可通过php -v、php-fpm -v等命令辅助核实版本。需要注意，命令行PHP与Web实际使用的PHP版本可能不同，应结合Apache、Nginx、PHP-FPM、容器镜像及服务配置进行确认。

各环境的具体核查方法如下：

1.1 Linux环境。执行php -v查看命令行版本；执行ps -ef | grep -E 'php-fpm|httpd|apache2'确认实际工作的进程；执行grep -rE 'fastcgi_pass|SetHandler' /etc/nginx /etc/apache2 /etc/httpd确认Web服务器转发到的PHP实例。存在多版本共存的，应逐一执行各路径下的可执行文件，如/usr/bin/php -v、/usr/local/bin/php -v。

1.2 Windows环境。执行php -v查看命令行版本；在IIS管理器“处理程序映射”中查看PHP对应的FastCGI可执行文件路径；使用宝塔、phpStudy等面板的，在面板中查看已安装的PHP版本及各站点绑定的版本。

1.3 容器环境。执行docker ps --format "{{.Names}} {{.Image}}"列出运行中的容器及镜像；执行docker exec <容器名> php -v确认容器内版本；执行docker image inspect <镜像名>核对镜像的标签、摘要与构建时间。

1.4 Kubernetes环境。执行kubectl get pods -A -o wide列出工作负载；执行kubectl exec <Pod名> -- php -v确认容器内版本；执行kubectl get deploy -A -o wide核对各工作负载使用的镜像标签。

1.5 以Web实际响应为准。上述命令反映的是命令行或容器内的版本，最终应以Web请求实际使用的版本为准。可临时创建内容为<?php phpinfo(); ?>的测试文件，通过浏览器访问后查看“PHP Version”，也可通过查看响应头X-Powered-By辅助判断。核查完毕后应立即删除该临时文件，严禁长期保留。

2.补丁修复。请根据实际使用的PHP版本升级至对应修复版本或更高的官方修复版本。对于已停止维护的版本，建议迁移至仍受支持的PHP分支。官方版本下载地址：https://www.php.net/downloads.php

如使用Linux发行版仓库、宝塔、phpStudy、XAMPP或第三方维护的PHP软件包，应同时核实供应商是否已发布安全补丁。对于采用向后移植补丁的版本，应以供应商安全公告和实际补丁状态为准。

3、备份与回滚预案。首先，备份php.ini、php-fpm.conf、www.conf及Web服务器配置文件，备份业务代码与数据库；再者，执行php -m记录已加载扩展清单，同时记录版本号及关键配置，做好回滚应急预案。

4.核实修复效果

4.1升级后重启Apache、PHP-FPM及其他常驻PHP工作进程，确保旧进程不再继续处理请求。

4.2 Docker环境应重新构建并部署修复后的镜像，避免继续使用包含旧版PHP的镜像层。

4.3 Kubernetes环境应滚动更新相关工作负载，确认所有Pod均已使用修复版本，且不存在仍在提供服务的旧实例。

4.4多租户、共享主机及多PHP版本环境，应逐一核实所有实际运行的实例。

5.核实结果逐项留痕。

5.1版本核对。再次执行php -v，确认版本号不低于8.2.35、8.3.36、8.4.27、8.5.12中对应分支的修复版本。

5.2 进程核对。执行ps -ef | grep php确认无旧版本进程残留；使用PHP-FPM的，执行php-fpm -v并通过systemctl status确认服务已按新版本启动。

5.3 镜像核对。容器环境执行docker ps确认运行容器所用镜像的标签或摘要已更新，避免因镜像缓存继续使用旧镜像层。

5.4对外响应核对。通过浏览器或curl -I访问业务页面，确认访问正常；响应头包含X-Powered-By的，核对其中的版本信息。

5.5日志核对。检查Web服务器与PHP错误日志，确认升级后无新增致命错误、扩展加载失败或段错误记录。

6.暂时无法升级时采取临时防护措施

对于因业务兼容性等原因暂时无法升级的系统，可结合官方安全公告采取以下措施降低风险，但不得将其视为完整修复。

（1）按照官方公告评估将PHP-FPM可设置memory_limit配置为-1移除可预测的单次请求内存限制；mod_php可关闭会话上传进度功能与fatal backtrace：全局设置session.upload_progress.enabled=0(PHP 8.5 可设置fatal_error_backtraces=0)，并重启全部工作进程或Web服务器。

（2）阻断跨请求状态传递，此方式会降低服务器性能。FPM池pm.max_requests=1,mod_php对应Apache的MaxRequestsPerChild=1。

（3）持续监测PHP进程异常退出、系统异常命令调用、陌生进程创建、异常文件写入等行为，留存日志用于溯源分析。

三、其他

请各单位对本单位自建网站及系统开展自查、修复和复核工作，优先处置互联网暴露及运行停止维护版本的PHP系统，降低漏洞被利用的安全风险。

信息技术中心

2026年10月23日