PHP 8.4.27 修复的是 CVE-2026-109618 和 CVE-2026-109619 两个严重 RCE 漏洞，统称“php2shell”，源于底层内存管理缺陷，可绕过 disable_functions、WAF 等所有用户层防护，唯一有效缓解方式是完整升级并验证。
PHP 8.4.27 不修复“命令注入漏洞”，它修复的是两个编号为 CVE-2026-109618 和 CVE-2026-109619 的严重漏洞，安全研究人员统称其为 “PHP2Shell”。这不是传统意义的 system()、exec() 或 shell_exec() 调用不当导致的命令注入，而是由底层内存管理缺陷触发的远程代码执行（RCE），可被用于构造任意 PHP 代码执行，进而派生出 shell。更新是唯一被官方确认有效的缓解方式。
为什么不能靠禁用函数来防 CVE-2026-109618/109619
这两个漏洞绕过了所有用户层的防护机制：
-
disable_functions中列出的system、passthru、proc_open等完全无效——攻击不依赖这些函数，而是通过内存破坏直接劫持 PHP 执行流程 - Web 应用层 WAF（如 ModSecurity 规则）无法识别其流量特征，因为恶意载荷不包含典型命令关键字或 shell 元字符
- 即使启用了
open_basedir或safe_mode（已废弃），也不影响漏洞利用链 - 漏洞触发点位于 unserialize 处理和资源释放路径中，与业务逻辑是否调用外部命令无关
升级到 PHP 8.4.27 的实际操作要点
必须确保完整替换二进制与扩展，而非仅覆盖部分文件：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 使用包管理器时，确认
php -v输出末尾显示8.4.27，且php --modules | grep -E 'core|standard'中无残留旧版模块 - 若使用自编译安装，需重新运行
make clean && ./configure && make && sudo make install，旧的modules/目录必须清空，否则opcache可能加载未修复的 Zend 引擎符号 - Docker 用户应拉取最新镜像：
docker pull php:8.4.27-apache或php:8.4.27-cli，不要复用带缓存的构建层 - 云平台（如 AWS AMI、阿里云运行环境）需检查服务商是否已同步更新；部分平台仍提供 8.4.26 镜像，需手动切换或提交工单确认
升级后必须验证的三个关键点
补丁是否真正生效，不能只看版本号：
立即学习“PHP免费学习笔记（深入）”；
- 执行
php -r "echo PHP_VERSION_ID;"确认返回值为80427（即 8.4.27 的整数标识），避免因多版本共存导致 CLI 与 Web SAPI 使用不同 PHP - 在 Web 环境中访问一个含
phpinfo()的页面，搜索Configure Command行，确认其中不含--enable-debug（调试模式会掩盖部分内存校验行为，影响漏洞检测准确性） - 运行官方提供的最小验证脚本（PHP 基金会 GitHub release 页面附带的
test_php2shell.php），该脚本尝试触发已知崩溃路径，返回空白页 + HTTP 200 即表示修复成功；若返回 500 或输出异常堆栈，则说明仍有风险
最易被忽略的是：漏洞利用不依赖任何用户输入字段，也不需要登录态，只要 PHP 进程处理过恶意序列化数据（例如来自 Redis 缓存、日志反序列化、第三方 SDK 回调），就可能被触发。因此，即使你的代码里从不写 exec，只要运行在未更新的 8.4.26 或更早版本上，就处于高危状态。
