CVE-2026-91768不存在，真实高危漏洞是CVE-2026-109618/CVE-2026-109619，影响PHP 8.2.x

没有 CVE-2026-91768 这个编号的 PHP-FPM 漏洞记录。 截至 2026 年 11 月 2 日，国家信息安全漏洞库（CNVD）和公开权威渠道（如 NVD、PHP 官方安全公告）中**不存在编号为 CVE-2026-91768 的漏洞**，也无任何关于 PHP-FPM ACL 绕过的官方通报与技术描述匹配该编号。 你可能混淆了编号。当前真实存在、高危且广泛传播的是：

PHP 内核内存管理漏洞（CVE-2026-109618 / CVE-2026-109619）

这是 2026 年 10 月 21 日由 CNVD 正式收录的远程代码执行漏洞，影响 PHP 8.2–8.5 多个版本，成因是内存管理逻辑缺陷，可被未授权攻击者利用触发内存破坏，进而实现 RCE、DoS 或数据窃取。

受影响的 PHP 版本范围

• 8.2.x 系列：低于 8.2.35
• 8.3.x 系列：低于 8.3.36
• 8.4.x 系列：低于 8.4.27
• 8.5.x 系列：低于 8.5.12

确认是否受影响的操作步骤

PHP-FPM 和 CLI 可能使用不同版本，务必分别验证：

• 查 CLI 版本：php -v
• 查 FPM 实际运行版本（例如用 8.3）：php-fpm8.3 -v 或 sudo systemctl status php8.3-fpm 后查看进程调用路径中的 PHP 二进制文件，再执行其 -v
• 在 Web 环境中创建 info.php（含 ），通过浏览器访问，搜索 “PHP Version” 和 “Server API”（确认是 FPM/FastCGI）

修复方式（唯一推荐）

升级到对应分支的已修复版本：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• 升级至 PHP 8.2.35、8.3.36、8.4.27 或 8.5.12 及以上
• 从官方源获取：https://www.php.cn/link/a232176a129c157a9e406cabbd1d9bc6
• 升级后重启服务：sudo systemctl restart php8.3-fpm nginx（按实际服务名调整）

临时缓解（仅限无法立即升级的场景）

这些措施不能根除风险，但可缩小攻击面：

立即学习“PHP免费学习笔记（深入）”；

• PHP-FPM 配置中设 memory_limit = -1（避免基于内存限制的触发路径）
• 禁用会话上传进度：session.upload_progress.enabled = 0
• PHP 8.5+ 可额外关闭错误回溯：fatal_error_backtraces = 0
• 所有配置修改后需重启 PHP-FPM 进程