消息详情
VPS信号旗播报 · @vps_xhq · 2026年10月22日 09:48
针对php2shell高危漏洞，无法立即升级到修复版本的紧急措施 PHP 官方已披露两起严重的未经身份验证远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），并为PHP v8.2 之后的版本提供了安全补丁。对于 PHP 8.1 及更早版本已结束常规生命周期，建议按以下方案处置： 一、躲到 cloudflare 背后 Cloudflare 已经UTC时间10月21日凌晨3:02起（北京时间11:02），为所有WAF用户（包括免费版）默认启用了针对php2shell两个高危漏洞的防护。可以为后续补救争取时间。 二、 紧急缓解措施，降低暴露面 须在全局配置生效，如 php.ini 或 FPM Pool，不能用 ini_set 或 .user.ini。 针对 CVE-2026-109618（内存超限漏洞）： 使用 php_admin_value 强制设置 memory_limit = -1，防止代码覆盖并避免触发 PHP 内部内存限制； 调低请求大小：无文件上传设 post_max_size = 8M，有上传设 32M； 在前置 Nginx/WAF 层面限制请求头数量、字段数与嵌套深度；切勿使用系统的 RLIMIT_AS 或 RLIMIT_DATA。 针对 CVE-2026-109619（状态残留漏洞）： 在 php.ini 设置 session.upload_progress.enabled = 0，并重启所有 Worker 进程； 清除导致初始化前报警告的废弃配置，修复外部可触发的 Fatal Error 与超时错误。 要完全解决安全隐患，还需要升级到受支持的修复版本（PHP 8.2.35、8.3.36、8.4.27 或 8.5.12）。 [消息等级 Level B · #重要 ]