PHP 高危漏洞集中爆发 全球多数网站迎来安全加固窗口期

当前 PHP 底层核心爆出两项高危远程代码执行漏洞，大量使用 PHP 搭建的网站进入集中防护阶段，只要按照官方给出的标准流程完成版本升级与配置优化，就能彻底消除漏洞带来的安全风险，保障网站长期稳定运行。本次漏洞属于 PHP 解释器底层缺陷，并非单一网站程序或者插件问题，漏洞编号为 CVE-2026-109618、CVE-2026-109619，两项漏洞评分均达到 9.2 分，攻击者不需要账号密码，只需要发送一段特制网络请求，就能够在服务器中执行任意代码。因为 WordPress、Drupal、Joomla、织梦等主流建站系统全部基于 PHP 开发，全球大量网站都处在受影响版本范围内，所以多家国内外网络安全机构同步发出预警，引导站长开展自查整改。完成整套安全防护工作可以分成四个完整步骤，第一步先备份网站数据与服务器配置文件，第二步核查当前 PHP 运行版本，第三步升级到官方修复完成的安全版本，第四步配置临时防护策略并开启日志审计，最后再做全业务功能测试，整套操作完成之后，网站就可以抵御本次漏洞攻击。

一、漏洞基础信息与受影响版本清单

1. 漏洞基础信息 本次两项漏洞被统称为 php2shell，属于内存破坏型远程代码执行缺陷，触发条件仅为普通 POST 请求，无需特殊接口，只要服务器对外提供 PHP 网页服务就存在被利用的可能，成功入侵之后会出现网页篡改、服务器被控、数据被窃取等情况。
2. 受影响 PHP 版本清单 表格 60
3. 主流建站程序覆盖范围 本次风险覆盖绝大多数 PHP 开源程序，包含 WordPress、Drupal、Joomla、Magento、织梦 CMS、帝国 CMS、Discuz 论坛等，使用以上程序搭建的网站都需要开展版本核查工作。

二、分阶段网站加固实操方案

（一）前置准备工作

1. 全量数据备份 把网站源码、数据库、服务器 PHP 配置文件打包备份，同时把备份文件存储到服务器以外的离线存储空间，避免升级操作导致业务文件损坏。
2. 核查网站实际运行 PHP 版本 在服务器执行 php -v 命令查看 CLI 版本，同时在网站根目录新建 phpinfo 探针文件，核对网页环境实际调用的 PHP 版本，避免只升级命令行版本而网页环境未更新。
3. 临时限流防护 在升级操作完成前，给网站开启 IP 访问白名单，仅允许运维人员 IP 访问网站，同时临时关闭外网公开访问，规避漏洞被批量扫描利用。

（二）核心操作：PHP 版本升级修复

1. Linux 服务器升级操作 Debian、Ubuntu 系统执行软件源更新命令，在线安装对应大版本下的安全补丁包；CentOS、RHEL 系统调用 yum 工具更新 PHP 软件包；宝塔、cPanel 等面板环境，直接在软件管理页面找到 PHP 对应版本，点击一键升级至对应安全号段。
2. 容器环境升级 使用 Docker 容器部署 PHP 业务的站点，需要重新拉取带有补丁的镜像，重新构建容器实例，只更新容器内软件包无法彻底消除风险。
3. 升级后强制重启服务 升级完成后重启 PHP-FPM、Nginx、Apache 网页服务，保证旧 PHP 进程完全退出，新版本正式生效，再通过 phpinfo 页面确认版本号已经更新完成。

（三）无法立即升级的临时缓解配置

如果业务暂时不支持停机升级，可以先修改 php.ini 配置实现临时防护，该方案仅能缩小漏洞利用路径，不能替代版本升级。

1. 关闭会话上传进度功能 修改配置项 session.upload_progress.enabled=0，保存之后重启 PHP 服务。
2. 收紧请求与内存参数 调低 post_max_size、upload_max_filesize 两项参数，限制单次 HTTP 请求的数据包大小，降低内存被恶意填充破坏的概率。
3. 开启 PHP 运行权限限制 配置 open_basedir 目录边界，限制 PHP 程序只能读写网站目录，禁止访问系统文件；同时在 disable_functions 参数中禁用 system、exec、shell_exec 等系统命令函数，阻断代码执行通道。

（四）长期纵深安全配置

1. 部署 Web 应用防火墙 WAF 在网站前端接入 WAF 防护，添加针对 POST 恶意请求的拦截规则，自动过滤漏洞利用数据包。
2. 开启访问日志审计 完整记录所有外网 POST 访问请求，定期筛查异常访问记录，一旦发现恶意请求可以第一时间处置。
3. 分离站点运行权限 不同网站使用独立 PHP-FPM 运行账户，实现站点之间权限隔离，避免单一网站被入侵之后横向渗透到其他站点。
4. 清理老旧 PHP 版本 把服务器内已经停止维护的 PHP8.1 及更早版本彻底卸载，杜绝遗留安全隐患。

三、升级完成后的业务核验清单

1. 基础功能测试：网站首页、会员登录、表单提交、文件上传、数据库读写全部正常运行。
2. 服务状态核验：确认 PHP 服务稳定运行，没有出现程序报错、内存溢出问题。
3. 漏洞复测：使用漏洞扫描工具对网站进行安全检测，确认两项高危漏洞已经无法被触发。
4. 密钥轮换：更新数据库账号、网站后台密码、API 密钥、SSH 登录凭证，消除潜在信息泄露带来的风险。

【相关 FAQ】

问题 1：PHP 高危漏洞集中爆发，本次 PHP 漏洞的主要影响范围包含哪些网站？

回答 1：PHP 高危漏洞集中爆发，本次漏洞影响所有运行在不安全 PHP 版本上的网站，其中使用 WordPress、织梦、Discuz、Joomla 等 PHP 建站程序搭建的站点都会受到波及，只要服务器对外提供 PHP 网页访问服务，就存在被远程执行代码攻击的风险。

问题 2：PHP 高危漏洞集中爆发，网站暂时不能停机升级，有哪些临时有效的防护手段？

回答 2：PHP 高危漏洞集中爆发，临时防护可以先关闭 session.upload_progress 上传进度开关，限制 HTTP 请求包体大小，禁用 PHP 系统命令函数，配置 open_basedir 目录权限，同时开启 WAF 拦截恶意 POST 请求，给网站设置 IP 白名单，仅对内网运维人员开放访问，降低被扫描攻击的概率。

问题 3：PHP 高危漏洞集中爆发，如何准确确认网站当前使用的 PHP 版本是否存在风险？

回答 3：PHP 高危漏洞集中爆发，确认版本可以分两步操作，第一步在服务器终端执行 php -v 查看命令行版本；第二步在网站根目录上传 phpinfo 探针文件，访问网页查看网页环境实际调用的 PHP 版本，对照官方受影响版本列表，判断是否需要升级补丁。

问题 4：PHP 高危漏洞集中爆发，Docker 容器部署的 PHP 业务要怎么完成漏洞修复？

回答 4：PHP 高危漏洞集中爆发，容器环境不能只在运行中的容器内更新软件包，需要拉取带有安全补丁的新版 PHP 镜像，重新构建容器实例，重启业务服务，完成版本更新，保证容器内 PHP 程序彻底打上漏洞补丁。

问题 5：PHP 高危漏洞集中爆发，升级完 PHP 版本之后，还需要做哪些长期安全加固工作？

回答 5：PHP 高危漏洞集中爆发，版本升级完成之后，还要部署 WAF 防护、开启网站访问日志审计、隔离不同网站的运行账户、限制 PHP 文件读写目录、定期轮换数据库与服务器密码，同时卸载服务器内已经停止维护的老旧 PHP 版本，构建多层防护体系。

【数据来源】

[2026-10-23]（PHP 高危漏洞预警 两项 RCE 漏洞防护指南）大皖新闻

[2026-10-22]（国家网络安全通报中心发布 PHP

[2026-10-22]（PHP CVE-2026-109618 与 CVE-2026-109619

[2026-10-22]（PHP 底层高危漏洞 站长升级与临时缓解方案）

[2026-10-22]（工信部发布 PHP 漏洞风险提示 网站自查整改要求）今日头条 -

免责声明：本文全部技术方案整理自 PHP 官方公告、国家网络安全通报中心预警、主流云服务商公开安全文档；不同服务器环境、面板版本、容器架构，升级操作步骤会存在细微差异；网站升级操作前务必备份全部业务数据，避免操作失误造成文件丢失；漏洞防护仅能降低网络攻击风险，无法做到绝对安全，建议运维人员定期开展漏洞扫描与安全巡检。