PHP 8.3.36 修复了两个严重 RCE 漏洞（CVE-2026-109618 和 CVE-2026-109619），可绕过防护并放大模板引擎文件包含风险，必须同步升级内核与加固模板层。
PHP 8.3 本身不内置模板引擎，所谓“模板引擎带来的文件包含漏洞”实际源于开发者在项目中使用的第三方模板引擎（如 Smarty、Twig、原生 PHP 拼接等）或自定义 include/require 逻辑，而非 PHP 解释器自身缺陷。
但 PHP 8.3.36 这个版本极其关键——它修复了两个严重 RCE 漏洞（CVE-2026-109618 和 CVE-2026-109619），而这些漏洞可被用来绕过常规防护、放大模板引擎中的文件包含风险。因此，修复模板层漏洞，必须与内核升级同步推进。
确认模板是否真在用动态文件包含
很多所谓“模板包含”只是表面现象，实际风险点藏在代码逻辑里： - 查看模板渲染处是否拼接用户可控参数：比如 `include($_GET['tpl'] . '.php')` 或 `require_once $config['theme_dir'] . '/' . $_POST['module'] . '.inc'` - 检查是否调用 `eval()`、`assert()`、`create_function()` 等危险函数加载模板内容 - 注意 Twig/Smarty 的 `{% include %}` 标签若传入未过滤的变量（如 `{{ include(user_input) }}`），在旧版引擎或错误配置下可能触发 LFI 或 RCE禁用高危 PHP 配置项，切断利用链
PHP 8.3.36 修复的是内核级内存状态污染，但攻击者常靠配置辅助落地。以下设置应在 `php.ini` 或 FPM pool 配置中强制关闭： - `allow_url_include = Off`（防止远程文件包含 RFI） - `allow_url_fopen = Off`（降低恶意资源加载能力） - `session.upload_progress.enabled = 0`（CVE-2026-109619 明确利用路径之一） - `opcache.enable = On`（提升解析稳定性，间接减少异常触发概率）模板引擎层加固建议
不同引擎策略不同，但核心原则一致：**绝不让用户输入直接决定文件路径或执行内容** - 对于原生 PHP 模板：统一使用白名单机制加载模板 ```php $valid_templates = ['home', 'about', 'contact']; $tpl = $_GET['p'] ?? 'home'; if (in_array($tpl, $valid_templates)) { include "templates/{$tpl}.php"; } ``` - 对于 Twig：确保使用 `setTemplate()` 或 `loadTemplate()` 而非 `template_from_string()` 处理不可信内容；禁用 `Twig_Extension_Sandbox` - 对于 Smarty：关闭 `$smarty->allow_php_templates = false`，并校验 `$smarty->template_dir` 不含用户可控路径升级到 PHP 8.3.36 是硬性前提
- 所有低于 8.3.36 的 8.3.x 版本均受 CVE-2026-109618/109619 影响 - 即使模板代码写得再规范，攻击者仍可通过构造畸形 multipart 请求触发 OOM 内存破坏，进而劫持 `include` 流程或篡改全局状态，使原本安全的模板加载逻辑失效 - 使用 `php -v` 和 `php-fpm -v` 双重验证 CLI 与 Web 环境版本一致性不复杂但容易忽略：模板漏洞从来不是孤立问题，它是输入控制、运行时环境、引擎配置和 PHP 内核健壮性共同作用的结果。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
