临时缓解措施不能替代升级补丁，但可在补丁落地前降低被利用风险：关闭session.upload_progress功能、网关层拦截恶意请求、加固内存配置、收窄进程复用窗口。
临时缓解措施不能替代升级补丁，但可在补丁落地前降低被利用风险。重点是封堵已验证的攻击路径，同时避免影响正常业务。
关闭 session.upload_progress 功能
该功能是 CVE-2026-109619 的关键利用入口：
- 在 php.ini、.user.ini 或 .htaccess 中设置 session.upload_progress.enabled = Off
- 修改后必须重启 PHP-FPM 或 Web 服务器（如 Apache/mod_php）使配置生效
- 若业务确实依赖上传进度条，需评估停用影响；否则建议直接关闭
限制 multipart 请求与上传参数
攻击常通过伪造 upload_progress 字段触发，可在网关层做前置拦截：
- 在 Nginx、WAF 或 API 网关中拦截包含 PHP_SESSION_UPLOAD_PROGRESS 的请求头或请求体
- 对非上传业务端点，将 post_max_size 调低至 8M；上传类业务可设为 32M
- 前置层限制 request body 大小及请求头长度，防止恶意构造超长字段绕过检测
加固内存与解析行为
针对 CVE-2026-109618 的 OOM 触发路径：
立即学习“PHP免费学习笔记（深入）”；
- 在 FPM pool 配置或 Web 服务配置中使用 php_admin_value memory_limit -1，防止应用层覆盖导致意外 bail-out
- PHP 8.5 环境额外关闭 fatal_error_backtraces = 0，减少错误上下文中泄露的内存布局信息
- 不推荐仅靠调高 memory_limit 来规避，这可能扩大攻击面而非收敛
收窄进程复用窗口
两个漏洞均依赖同一工作进程处理多个请求的状态残留：
- 在 PHP-FPM 中设置 pm.max_requests = 1，让每个进程只处理一次请求后即退出
- 该方式会增加进程启停开销，不能彻底阻断漏洞，但能显著降低触发概率
- mod_php 等常驻模式无法通过此方式缓解，必须依赖其他配置或尽快升级
