PHP 8.4.20未修复CVE-2026-109618和CVE-2026-109619，存在远程代码执行风险，应立即升级至官方已修复的8.4.27版本。
PHP 8.4.20 本身不是官方发布的稳定版本——截至 2026 年 10 月，PHP 官方最新修复版为 8.4.27（发布于 10 月 21 日），用于修复 CVE-2026-109618 和 CVE-2026-109619 等高危 RCE 漏洞。因此，若你实际运行的是 8.4.20，说明尚未升级到安全基线版本，应优先升级至 8.4.27，否则任何组件层审计都建立在不安全的运行时基础之上。
确认运行时是否已受底层反序列化漏洞影响
PHP 8.4.20 存在已知内存管理缺陷（CVE-2026-109618），攻击者可构造恶意 HTTP 请求触发 OOM 异常处理逻辑错乱，导致未初始化或已释放内存被误解析为反序列化数据流。该漏洞不依赖特定组件，只要启用 session 或使用 unserialize()、__wakeup()、Phar::webPhar 等机制就可能被链式利用。
- 检查当前 PHP 配置：运行
php -i | grep "session.serialize_handler"，若返回php_binary或php_serialize，且应用中存在运行时调用ini_set('session.serialize_handler', 'php')，则风险极高 - 验证是否启用危险会话功能：确认
session.upload_progress.enabled=0已全局设置（含 php-fpm pool 配置），并重启服务 - 禁用所有非必要反序列化入口：如无业务强需求，将
unserialize()调用全部替换为json_decode()或igbinary_unserialize()（需确保 igbinary 未开启 auto-loading）
聚焦第三方组件的反序列化面排查
审计重点不在“有没有 unserialize”，而在于“谁控制输入、谁触发反序列化、谁定义类名”。Laravel Ignition（CVE-2021-3129）、Monolog、SwiftMailer、Symfony Serializer 等历史高危组件仍可能存在于旧依赖树中。
- 执行
composer show --tree | grep -E "(monolog|symfony/serializer|swiftmailer|ignition)"，定位组件及其子依赖版本 - 搜索项目中所有
unserialize(、Phar::、__wakeup、__destruct出现位置，特别关注路由处理器、异常处理中间件、日志上下文注入点 - 对使用
serialize_handler=php_serialize的框架（如部分 ThinkPHP 插件），检查是否允许用户控制_SESSION内容（例如通过 Cookie 注入伪造 session 数据）
利用 PHP 8.4 新特性加固反序列化边界
8.4 的 Property Hook 和 readonly class 可主动防御反序列化后的非法状态，而非仅依赖“不反序列化”。
立即学习“PHP免费学习笔记（深入）”；
- 对所有可能被反序列化加载的 DTO 类，声明为
readonly class，并移除__wakeup；若需动态赋值，改用显式构造器 + 参数校验 - 为关键属性添加 Hook 校验：
public string $payload { set => $this->assertValidBase64($value) ?: throw new BadFunctionCallException(); } - 在 Composer autoload 阶段拦截危险类注册：使用
class_alias()将已知 gadget 类（如Monolog\Handler\SyslogUdpHandler）重定向到空桩类，或通过opcache.preload提前加载 denylist
验证与持续监控建议
静态扫描无法覆盖运行时动态类加载路径，必须结合行为观测。
- 在开发环境启用
zend.assertions=1和assert.exception=1，并在反序列化入口处插入assert(class_exists($className))断言 - 使用
phpdbg启动服务，设置断点于unserialize和Phar::mapPhar，记录所有调用栈来源（尤其注意file_get_contents("phar://...")类型请求） - 部署轻量级 eBPF 探针（如 libbpf + php-usdt），监控
unserialize调用中是否出现非白名单类名（如Illuminate\Broadcasting\PendingBroadcast）
