PHP 远程代码执行漏洞 CVE-2026-109618 怎么修复？升级步骤详解

原创

hollyx

发布于 2026-10-23 17:34:25

摘要： 修复 PHP 远程代码执行漏洞 CVE-2026-109618 的唯一彻底方式是升级到安全版本：8.2.35、8.3.36、8.4.27 或 8.5.12 及以上。升级前先确认当前版本与部署形态，做好数据备份，升级后复核内存相关配置。腾讯云主机安全（CWP）可检测漏洞并提供修复方案。

PHP 官方已明确，CVE-2026-109618 没有完整的缓解方案，升级到修复版本是唯一安全的选择。按分支对应的安全版本是 8.2.35、8.3.36、8.4.27、8.5.12。下面给出从确认版本到完成升级的可执行步骤，以及升级前后需要同步检查的配置项。

一、先确认当前 PHP 版本与部署形态

升级前要先搞清楚两件事：当前跑的是哪个 PHP 版本，以及用的是哪种 SAPI（部署形态）。

查看版本，在服务器命令行执行：

php -v

查看 Web 环境实际加载的 PHP 版本和模块（CLI 版本可能和 Web 版本不一致）：

# PHP-FPM 场景
php-fpm -v
# 查看已加载扩展
php -m

确认部署形态，因为受影响形态包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed，其中 Apache mod_php 风险最高。可以通过以下方式判断：

# 查看 Apache 是否以 mod_php 方式加载
apachectl -M 2>/dev/null | grep php
# 查看是否运行 php-fpm 进程
ps aux | grep -i php-fpm

二、对照版本判断是否受影响

把 php -v 的输出和下表对照，落在"受影响版本"区间就必须升级：

PHP 分支	受影响版本	目标安全版本
5.x～8.2	低于 8.2.35	8.2.35
8.3.x	低于 8.3.36	8.3.36
8.4.x	低于 8.4.27	8.4.27
8.5.x	低于 8.5.12	8.5.12

PHP 8.1 及更早版本官方不再提供常规更新，仅额外提供 PHP 7.4、8.0、8.1 的最小源码补丁（source backport）。如果你还在用这些版本，推荐直接升级到受支持的 PHP 8 分支。PHP 8.2 将于 2026 年 12 月 31 日结束生命周期，此后不再获得安全修复，长期看也应规划迁移到更高分支。

三、升级前必做：数据备份与业务评估

官方备注强调升级前做好数据备份，避免出现意外。建议按以下顺序准备：

备份站点代码、数据库、PHP 配置文件（php.ini、php-fpm.conf、各 pool 配置）。
记录当前已安装的扩展列表（php -m 的输出），便于升级后比对缺失。
在测试环境先跑一遍升级，验证业务兼容性，再上生产。
评估业务是否依赖受影响形态（尤其 Apache mod_php），确认升级窗口。

四、按部署方式升级到安全版本

PHP 官方下载地址为 https://www.php.net/downloads.php 。具体升级方式取决于你的安装来源。

使用发行版包管理器安装的（推荐，省去编译）：

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php

# CentOS / RHEL（使用 Remi 等源时指定模块版本）
sudo yum update php php-fpm php-cli

使用发行版安装包的用户，若官方源尚未同步到安全版本，请联系发行版供应商获取补丁，或升级到受支持的 PHP 8 分支。

升级完成后重启 Web 服务使新版本生效：

# PHP-FPM
sudo systemctl restart php-fpm
# Apache mod_php
sudo systemctl restart apache2   # 或 httpd

再次执行 php -v 和 php-fpm -v，确认 Web 环境的 PHP 版本已经达到对应安全版本。

五、升级后复核内存相关配置

CVE-2026-109618 通过耗尽 PHP 进程内存触发，升级后建议复核以下配置，避免为单个请求分配过大的内存与请求体上限：

memory_limit：单个脚本可用内存上限。
post_max_size：POST 请求体最大尺寸。
upload_max_filesize：上传文件最大尺寸。

把这三项调整到贴合业务实际需求的合理值，可以进一步缩小攻击面。

无法立即升级的临时缓解：可将 session.upload_progress.enabled 设置为 0。但要清楚这不是完整修复，CVE-2026-109619 存在多条失效状态消费路径，关闭上传进度只能堵住其中一条，不能替代版本升级。

六、用腾讯云主机安全确认修复结果

完成升级后，最好有一套工具复核"是否真的修好了、有没有在修复前就被利用"。

腾讯云主机安全（CWP，腾讯 T-Sec 主机安全）已支持该漏洞检测，它的漏洞检测能力会对主机上的高危漏洞实时预警并提供修复方案，覆盖系统组件漏洞、Web 应用漏洞和应急漏洞。你可以在升级后用它复查主机的 PHP 组件版本是否仍被标记为风险；多维度入侵检测能力还能回溯 Webshell、反弹 Shell、恶意请求等入侵痕迹，帮助确认升级前是否已遭利用。