PHP 7.4已终止支持，所有高危漏洞无官方补丁，必须升级至PHP 8.2.35+等受支持版本或实施临时加固：禁用session.upload_progress、file_uploads等高危配置，启用WAF拦截规则，并关闭PHP-FPM公网暴露。
PHP 7.4 网站扫描出高危漏洞，首先要明确：PHP 7.4 已于 2022 年 11 月正式结束所有官方支持（包括安全更新），当前所有已知高危漏洞（如 CVE-2026-109618 / CVE-2026-109619）**均无官方补丁可用**。这意味着不能靠“打个补丁”解决，必须转向实质性加固或迁移。
确认是否真受影响
不是所有扫描结果都代表实际可利用风险。需人工验证：
- 运行
php -v和php-fpm -v（若用 PHP-FPM），确认真实运行版本确实是 7.4.x，且未被其他机制（如容器镜像、云平台运行时）覆盖； - 检查 Web 服务器模块：Apache 的
mod_php风险最高，Nginx + PHP-FPM 次之，但都属受影响部署方式； - 留意扫描工具是否误报——部分工具仅凭 HTTP 响应头或
/phpinfo.php片段就判定版本，而生产环境通常已禁用该页面或隐藏版本号。
立即启用临时缓解措施
在无法升级的前提下，这些配置能阻断已知主要攻击路径：
- 编辑
php.ini，强制关闭高危功能：session.upload_progress.enabled = 0file_uploads = Off（如业务允许）allow_url_fopen = Off（防止远程文件包含类延伸） - 限制请求体大小与解析行为：
post_max_size = 8Mupload_max_filesize = 2Mmax_input_vars = 1000（防超大表单触发内存异常） - 重启 PHP 服务（
systemctl restart php-fpm或对应服务名）使配置生效。
强化边界防护设备
既然 PHP 层无法修复，就把防线前移到 Web 应用之前：
立即学习“PHP免费学习笔记（深入）”；
- WAF 规则必须开启并设为拦截模式，重点匹配：
multipart/form-data 请求中异常的Content-Length、boundary字段；
包含PHPSESSID但未触发 session_start() 的上传进度参数（如PHP_SESSION_UPLOAD_PROGRESS）； - 云防火墙或 IPS 设备需加载最新虚拟补丁规则（如绿盟 NF/WAF/IPS 更新的规则 ID 4401216559、4494969309）；
- 关闭非必要公网端口，尤其避免将 PHP-FPM 监听地址暴露在 0.0.0.0:9000 这类默认配置上。
制定不可绕行的升级或替代计划
临时措施只是争取时间，不是终点：
- 评估迁移可行性：PHP 8.2.35+、8.3.36+、8.4.27+、8.5.12+ 是当前唯一有官方修复的版本；
- 老项目若兼容性差，优先考虑容器化封装 + 官方 PHP 镜像（如
php:8.3-apache），比直接改代码成本更低； - 静态展示型站点可转为纯前端托管（如 GitHub Pages、OSS 静态托管），彻底移除 PHP 依赖；
- 所有操作前务必完成全站备份（代码、数据库、配置文件），并验证备份可恢复。
