PHP“php2shell”漏洞（CVE-2026-109618/CVE-2026-109619）是PHP运行时内存管理根本缺陷，未认证远程代码执行风险覆盖所有低于8.5.12等安全版本的PHP实例，升级至8.5.12（或8.4.27/8.3.36/8.2.35）并重启全部PHP进程是唯一有效修复方式。
php2shell 漏洞（CVE-2026-109618 / CVE-2026-109619）不是「你代码写错了」的问题，而是 PHP 运行时在内存管理上存在根本缺陷。只要用的是 PHP 8.5.12 之前的版本，无论框架、CMS、插件多新，都已暴露在未认证远程代码执行风险之下。**升级到 8.5.12 是唯一被官方确认有效的修复方式**——其他所谓“配置缓解”只是临时止血，且自带副作用。
确认你真正在跑的 PHP 版本
别信 php -v 或 phpinfo() 页面显示的结果。很多服务器有多个 PHP 版本共存，Web 请求实际走的是哪个，得看 Web 服务器配置：
- Apache + mod_php：查
httpd.conf或apache2.conf里LoadModule php_module对应的 so 文件路径，再用ldd或strings检查该模块编译自哪个源码版本 - PHP-FPM：查
www.conf中的php_admin_value[extension_dir]，或直接看ps aux | grep php-fpm启动命令带的--prefix路径 - Docker：进容器执行
php --ini，再看 Loaded Configuration File 所在目录的父级是否含版本号；更稳妥的是cat /proc/$(pidof php-fpm)/exe | head -n1 - cPanel/Plesk：它们常默认用系统 PHP，但站点可单独指定版本——必须进每个域名的 PHP 版本设置页逐个核对
升级后必须重启全部 PHP 进程
只改版本不重启，等于没修。PHP-FPM、mod_php、CLI、甚至 cron 里调用的 php 命令，都可能各自持有旧版本进程：
- PHP-FPM：执行
sudo systemctl reload php8.5-fpm（注意服务名可能为php-fpm85或php-fpm），然后sudo systemctl status php8.5-fpm确认 Active 时间是升级后 - Apache：执行
sudo systemctl restart apache2（Debian/Ubuntu）或sudo systemctl restart httpd（RHEL/CentOS） - 验证生效：curl 一个能触发
phpinfo()的页面，或直接访问/status?full（若启用了 FPM status） - 特别注意：某些云主机控制面板（如宝塔）升级 PHP 后不会自动重启关联服务，必须手动点「重启 PHP」和「重启 Web 服务」两个按钮
为什么不能靠 memory_limit=-1 或禁用 session.upload_progress 来代替升级
官方明确声明这些是「不完整缓解措施」，原因很实在：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
-
memory_limit=-1会彻底关闭内存限制，一旦业务代码出现死循环、大数组或无限递归，PHP 进程会吃光服务器内存，导致 OOM killer 杀掉关键服务（MySQL、Redis、甚至 SSH） - 禁用
session.upload_progress.enabled=0只影响 CVE-2026-109619 的一条利用路径，CVE-2026-109618（OOM 内存损坏）仍可通过 multipart 表单嵌套字段、超长 header 或空文件字段触发 - 攻击者已公开 PoC：只需发送一个
Content-Type: multipart/form-data; boundary=xxx请求，body 包含 500+ 个name="file[]" filename=""字段，就能稳定复现漏洞——这类请求完全合法，WAF 很难无损拦截 - 所有「缓解」配置都依赖 PHP 进程重载，而重载本身不保证 worker 进程立即退出；残留的旧进程仍可被后续请求复用，UAF 风险持续存在
升不了 8.5.12 的老系统怎么办
如果你卡在 PHP 7.4、8.0 或 8.1，官方已停止支持，没有 8.1.99 这种修复版。这时候不能赌「没人扫我」：
立即学习“PHP免费学习笔记（深入）”；
- 立刻将服务从公网隔离：加 ACL、关掉 80/443 端口，或通过 Cloudflare 设置「仅允许特定 IP 访问」
- 检查发行版是否 backport：Ubuntu 22.04 LTS 的
php8.1包、AlmaLinux 9 的php:remi-8.1模块，近期已推送含 CVE-2026-109618/109619 修复的更新，用apt list --upgradable或dnf update --security查 - 别自己编译官方 backport 分支（如
PHP-8.1-CVE-2026-109618-109619）：它没经过发行版 QA，缺少 SELinux/AppArmor 策略适配，上线后容易出权限问题 - 最现实的路径是：用 Docker 启一个
php:8.5.12-apache容器，反向代理到旧系统，把 PHP 解释层隔离出去——至少让漏洞面缩到容器内
#!/usr/bin/env php 跑的定时脚本、一台三年没登录过的备份服务器，都可能是突破口。补丁发布才两天，已有扫描器在全网探测 PHP_VERSION 的响应头。 
