PHP 8.2 网站存在 CVE-2026-109618/109619 漏洞当且仅当版本低于 8.2.35、启用 session.upload_progress 且运行于 mod_php/FPM 等支持请求复用的 SAPI；CVE-2024-4577 仅影响 Windows 下 8.2.x

验证 PHP 8.2 网站是否存在 CVE 漏洞，不能只靠“扫出警告就认定有漏洞”，关键在分层确认、交叉比对和行为复现。当前（2026年10月底）PHP 8.2 的主流风险集中在 8.2.35 之前版本，尤其是 CVE-2026-109618/109619（session.upload_progress RCE）和 CVE-2024-4577（Windows php-cgi 编码绕过），验证必须紧扣这两个方向。

查版本是否落在受影响区间

这是第一步，也是最硬的依据：

• 执行 php -v 或通过 phpinfo() 页面确认精确版本号，例如 8.2.19、8.2.34；
• 对照官方修复公告：CVE-2026-109618/109619 在 8.2.35 及以上才修复，所有低于该版本的 PHP 8.2 都需重点验证；
• CVE-2024-4577 影响 Windows 下所有 8.2.x 的 php-cgi.exe，若用的是 php-fpm 或 mod_php，则不在此列。

看运行形态是否匹配漏洞触发条件

很多 CVE 不是“装了就有”，而是依赖具体部署方式：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• CVE-2026-109618/109619 要求 session.upload_progress.enabled = On（默认开启）、session.use_strict_mode = 0（常见于老配置），且 Web 服务器使用 Apache mod_php、PHP-FPM、php-cgi、FrankenPHP 或 LiteSpeed 中任意一种；
• 可通过访问 /info.php（含 phpinfo）搜索关键词确认这些 ini 设置；
• 若站点禁用了 session.upload_progress，或强制启用了 strict_mode，即使版本低，实际利用面也大幅收窄。

做轻量级行为验证（非渗透，仅确认可触发）

不发恶意 payload，只测漏洞链是否“通”：

立即学习“PHP免费学习笔记（深入）”；

• 对 CVE-2026-109618/109619：构造一个最小化 multipart/form-data 请求，POST 两个空文件名的嵌套字段（如 upload_progress_abc[foo]=1&upload_progress_abc[bar]=2），观察响应是否返回 500 或进程崩溃（SIGSEGV）；
• 对 CVE-2024-4577（仅 Windows）：向 php-cgi.exe 发送 GET /php-cgi/php-cgi.exe?%ad，检查是否返回解析错误或异常输出（如环境变量泄露片段）；
• 注意：这类测试应在预发或隔离环境进行，避免影响线上服务。

用工具交叉比对 CVE 状态

单一工具易误报漏报，建议组合使用：

• Versionscan：运行 versionscan --php-version 8.2.34，它会直接列出该版本已知关联的 CVE 编号及状态（如 “fixed in 8.2.35”）；
• composer audit：检查项目依赖是否引入了带 CVE 的旧包（如 laravel/framework
• NVD/CVE 官方库：手动访问 https://www.php.cn/link/d8585cb93fef89c4cf932574e6554c9c，输入 CVE 编号查原始描述、受影响版本范围和补丁状态。