PHP 8.0 的系统漏洞（如CVE-2026-109618/109619）是引擎内核级内存管理缺陷，仅需特制HTTP请求即可触发远程代码执行，修复必须升级PHP版本；业务上传漏洞则源于开发者未规范处理文件上传逻辑，需从业务代码层加固。

区分 PHP 8.0 中的系统漏洞和业务上传漏洞，关键不在版本号本身，而在于漏洞来源、触发路径、修复主体和防御层级。两者性质完全不同，混为一谈容易导致误判或漏防。

系统漏洞是 PHP 解释器内核级缺陷，与业务代码无关
这类漏洞存在于 PHP 引擎底层内存管理、请求处理或 SAPI（如 FPM/mod_php）交互逻辑中。典型代表是 2026 年曝出的 CVE-2026-109618 和 CVE-2026-109619（统称“PHP2Shell”）。它们的特点包括：

• 不需要调用任何 PHP 函数，仅靠构造特定 HTTP 请求即可触发
• 影响所有使用该 PHP 版本的 Web 应用，无论框架、代码是否规范
• 修复必须升级 PHP 二进制或打官方回移补丁，业务层加过滤、改逻辑完全无效
• 在 CLI、FPM、mod_php 等不同 SAPI 下表现不同，需逐个确认进程实际版本

业务上传漏洞是开发者在文件上传功能中引入的逻辑缺陷
ThinkPHP 8.0 本身不带上传漏洞，但开发者若沿用旧习惯（如依赖前端校验、忽略扩展名清洗、未重命名、存到可执行目录），就会在业务层埋下后门。审计时要盯住四个环节：

• 校验是否可信：是否只靠 $_FILES['type']？是否显式配置了 exts/mimes 白名单？是否调用 finfo_file() 做真实 MIME 检查？
• 命名是否可控：是否调用 getOriginalName() 后直接提取扩展名？是否过滤 .php、.phtml、.phar 及大小写变形？是否禁用 %00、零宽字符等混淆？
• 存储是否隔离：上传路径是否落在 public/ 下？Nginx/Apache 是否限制 uploads 目录执行 PHP？
• 执行是否受限：是否对图片类文件做 exif_imagetype() 或 GD 重绘？是否关闭 APP_DEBUG 防止日志泄露临时路径？

快速判断方法

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• 如果你没写上传功能，但服务器跑着 PHP 8.0.26，且对外提供 Web 服务 → 优先排查系统漏洞
• 如果你用了 think\File 或自定义 upload 方法，且用户能上传并访问到文件 → 必须深挖业务上传逻辑
• 日志里出现 OOM、segfault、zval 错误或异常内存地址 → 倾向系统层问题
• 上传 shell.php 被成功解析执行，但检查代码发现白名单写了 ['jpg','png'] → 典型业务层绕过

不复杂但容易忽略