修复生效需三重验证：一查真实运行版本（php-fpm -v、phpinfo()）、二用原始PoC复现漏洞路径、三验关键配置项（disable_functions、open_basedir等）是否真正生效并重载。
复测前先锁定真实运行版本
PHP 8.4.x 网站常存在 CLI、FPM、Apache mod_php 多版本并存的情况。扫描工具若只读取 php -v 或伪造的 SERVER_SOFTWARE，结果不可信。
- 登录服务器，执行
php-fpm -v或php-fpm8.4 -v获取 Web 实际使用的 FPM 版本 - 临时部署一个
info.php（内容为<?php phpinfo(); ?>），通过浏览器访问，确认 Loaded Configuration File 路径及 PHP Version 显示值 - 检查该 php.ini 中
expose_php = Off是否生效，避免被扫描器误判为旧版本
用原始 PoC 直接验证漏洞路径
官方修复的是特定内存触发路径（如 CVE-2026-109618 的 OOM 后状态残留），不是泛化补丁。复测必须回到原始攻击上下文。
- 调出漏洞通报中明确的 PoC 请求（例如构造含恶意序列化 payload 的 POST body 或特定 SOAP XML）
- 使用 Burp Repeater 或 curl 模拟原始请求，观察响应状态码、响应体长度、服务是否崩溃或返回敏感信息
- 特别关注是否仍可触发
segmentation fault、double free日志，或是否成功写入/tmp/shell.php类临时文件
检查配置项是否真正生效
很多“已升级”站点仍因配置未重载或被覆盖而持续暴露风险。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 确认
disable_functions是否包含exec,shell_exec,system,passthru,pcntl_exec—— 不仅查 phpinfo() 页面，还要执行php -r "echo function_exists('exec') ? 'enabled' : 'disabled';" - 验证
open_basedir是否设为有效路径（如/var/www/html:/tmp是危险的，/var/www/html才合理） - 检查
session.upload_progress.enabled = 0和memory_limit = -1是否已在对应 php-fpm pool 配置中设置，并执行sudo systemctl reload php8.4-fpm
跑一次轻量回归验证
避免修复 A 路径却放开 B 路径。重点扫三个易被忽略但高危的点：
立即学习“PHP免费学习笔记（深入）”；
-
SOAP 扩展是否仍在启用：即使 PHP 是 8.4.27，若
extension=soap.so开启且业务代码调用SoapServer::handle()解析外部 XML，仍可能被绕过利用 -
Redis/Memcached 反序列化链是否可控：检查业务中是否存在
unserialize($_GET['data'])或缓存反序列化逻辑，哪怕 PHP 版本已更新，gadget 链仍可 RCE -
mail() / imap_open() 等间接执行函数是否被遗漏禁用：这些函数常不在默认
disable_functions列表里，却是命令执行的常见跳板
