不建议自行批量扫描PHP 8.0多站点漏洞，因其易触发WAF拦截、IP封禁甚至法律风险；应优先确认版本、升级修复或禁用session.upload_progress，并检查是否已被入侵。
不建议自行批量扫描 PHP 8.0 多个站点的安全漏洞——这不是常规运维动作，而是高风险行为，极易触发目标站点的 WAF 拦截、IP 封禁，甚至被认定为攻击行为而承担法律责任。
为什么不能随便扫？
当前（2026年10月下旬）最紧迫的是 PHP2Shell 漏洞（CVE-2026-109618 / CVE-2026-109619），它允许未经身份验证的远程代码执行。但它的利用依赖于特定请求构造和服务器运行时状态，不是“有路径就能扫出”，更不是靠目录爆破或弱口令探测。公开扫描器已大量滥用该漏洞特征进行全网探测，你的扫描行为一旦匹配其指纹，会被安全设备直接归类为攻击源。
真正该做的三件事
-
确认自己是否受影响：登录每台服务器，运行
php -v查版本；再检查是否在 受影响范围内（如 PHP 8.2.34 及更早、8.3.35 及更早等）；重点看是否启用session.upload_progress（默认开启） -
优先升级或临时加固：
- 升级到官方修复版：PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（任一即可）
- 若无法立即升级，立刻在
php.ini中设session.upload_progress.enabled = Off，并重启 PHP-FPM 或 Apache - 禁用危险函数（
exec、system、shell_exec、file_put_contents等）
-
检查是否已被入侵：重点排查
- Web 目录下异常 PHP 文件（如
shell.php、1.php、xxx.jpg.php） - 公共 JS 文件或 HTML 中被注入的恶意 iframe / base64 脚本
- PHP session 存储目录（如
/var/lib/php/sessions）中是否有超长、乱码命名的 sess_XXX 文件 - 访问日志里是否存在大量
POST /?PHPSESSID=...类请求
- Web 目录下异常 PHP 文件（如
如果必须做技术验证（仅限自有环境）
可在内网或测试机上用最小化方式验证漏洞是否存在：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 使用官方 PoC（如 PHP 官方 GitHub issue 附带的 minimal test script），不发包、不联网，只本地复现内存行为
- 借助 PHP 内置 Web 服务器 + strace/gdb 观察请求过程中是否出现异常内存访问（需较高调试能力）
- 云厂商提供的免费安全检测服务（如阿里云安骑士、腾讯云网站管家）支持对已授权域名做合规性检测，不触发动态攻击行为
安全的核心是守住自己的面，不是去探别人的底。现在最有效的“扫描”，就是登录每台服务器，敲两行命令确认版本和配置，然后升级或关掉 upload_progress——简单、合法、真正起效。
立即学习“PHP免费学习笔记（深入）”；
