2026-10-21 PHP 紧急补丁：老板看结论，运维看命令

10月21日，PHP 官方紧急发布安全版本，修复两个无需登录即可远程执行代码的严重漏洞：

CVE-2026-109618（内存超限处理缺陷）

CVE-2026-109619（请求间残留状态 / use-after-free）

两个 CVSS 都是 9.2，属于“临界级”。只要你的服务器跑 PHP 并对外收 HTTP 请求，就可能在应用代码执行前被攻陷，尤其是 Apache + mod_php 环境。

老板一句话版

不是你网站写错代码，是 PHP 本身出问题。

网站、小程序后台、WordPress、商城、OA、客户门户、甚至某些设备后台，只要底层是 PHP，都可能中招。

运维动作清单

查版本：php -v、FPM/Apache 实际 SAPI 版本都要看

升级到：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

升级后必须重启 PHP-FPM / Apache / 容器 Pod，不然旧进程还在跑

宝塔、Docker、MAMP、Laragon、FrankenPHP、LiteSpeed 要单独确认，不是命令行 php -v 显示新版就完了

PHP 8.1 及以下：让服务商出 backport，或者直接迁到 8.2+

临时挡一挡（不能代替升级）：

memory_limit=-1（管理员级配置）

session.upload_progress.enabled=0

限制上传大小、multipart 请求数、请求体大小

WAF 只当缓冲，不是根治

补完别以为完事：查 web 目录新增 php 文件、异常管理员账号、反弹 shell、异常外连

结尾转获客（你最会这招）

很多老板以为“网站能打开=没问题”。

但真正出事的时候，不是打不开，是后台多一个管理员、数据库被拖走、搜索引擎里你的官网变成赌博站。

我们给客户做的不只是“建站”，是官网 + 小程序 + 搜索获客 + 安全兜底。

这次 PHP 漏洞，就是传统建站公司和“会来客户的技术方”的分水岭。