PHP 7.2 存在 CVE-2026-109618/CVE-2026-109619 远程代码执行漏洞，需立即安装宝塔提供的 7.2.35 修复版并收紧 php.ini 安全配置，禁用危险函数、关闭远程包含与错误显示。
PHP 7.2 本身已停止官方维护，当前暴露的命令执行风险（如 CVE-2026-109618/CVE-2026-109619）主要源于内核级内存处理缺陷，**单纯靠代码层过滤无法根除**。加固必须分两步走：紧急打补丁 + 环境层收紧。下面直接说关键操作。
立即安装宝塔提供的 PHP 7.2.35 修复版
这是目前唯一可用的官方兼容补丁，由宝塔针对 PHP 7.2 手动回溯适配：
- 登录宝塔面板 → 左侧「终端」，执行：
curl -fL -o php7_cve.sh https://download.bt.cn/install/php7_cve.sh && bash php7_cve.sh install72 - 完成后进入「软件商店 → 已安装」，确认 PHP 7.2 显示版本为 7.2.35
- 若服务器有多个 PHP 版本（如同时跑 7.2 和 7.4），需逐一检查并更新仍在使用的分支
收紧 php.ini 关键安全配置
补丁解决远程触发点，但防不住代码层误用。务必修改 php.ini（宝塔中进「PHP 7.2 → 设置 → 配置文件」）：
- disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec（禁用全部常见命令执行函数）
- allow_url_include = Off（彻底关闭远程文件包含能力）
- allow_url_fopen = Off（除非业务强依赖远程读取，否则关掉）
- expose_php = Off、display_errors = Off、log_errors = On
检查并清理潜在后门入口
攻击者常利用配置文件或伪协议维持控制：
立即学习“PHP免费学习笔记（深入）”；
- 检查网站根目录及子目录是否存在异常 .user.ini 文件，尤其关注是否设置了 auto_prepend_file 或 include_path
- 搜索所有 PHP 文件中是否硬编码调用
system()、exec()、shell_exec()等函数，特别是上传处理、图片裁剪、日志导出等模块 - 确认未启用 phar://、php://input、data:// 等高危伪协议（可通过
stream_get_wrappers()检查）
验证与监控不可跳过
补丁装完不等于万事大吉：
- 重启 PHP 服务（宝塔中点击「PHP 7.2 → 重启」），确保所有 worker 进程加载新版本
- 重点测试照片上传、订单生成、后台导出等调用系统命令的功能是否仍正常，避免补丁引入兼容问题
- 打开宝塔「安全」→「PHP 安全告警」，开启实时检测；同时定期查看 /www/wwwlogs/php_error.log 中是否有被禁函数调用警告
