CVE-2026-91769是PHP OpenSSL扩展处理ASN.1编码X.509证书时的内存越界读取漏洞，可致信息泄露或服务中断；修复方式仅为升级PHP至8.2.35/8.3.36/8.4.27/8.5.12及以上版本。
这个漏洞（CVE-2026-91769）本质是PHP OpenSSL扩展在处理特定ASN.1编码的X.509证书时发生的内存越界读取，可能造成信息泄露或服务中断。修复核心就是升级PHP版本，没有补丁包或配置开关可单独修复。
确认你是否受影响
运行 php -v 查看当前版本。只要你的PHP属于以下任一范围，就存在风险：
- 8.2.x 版本低于 8.2.35
- 8.3.x 版本低于 8.3.36
- 8.4.x 版本低于 8.4.27
- 8.5.x 版本低于 8.5.12
注意：该漏洞不区分操作系统或Web服务器类型，只要PHP版本未达修复线，OpenSSL扩展启用即受影响。
直接升级到官方修复版本
PHP官方已在2026年10月27日发布修复版本，必须升级到对应分支的最小安全版本：
立即学习“PHP免费学习笔记（深入）”；
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- PHP 8.2 用户 → 升级至 8.2.35 或更高
- PHP 8.3 用户 → 升级至 8.3.36 或更高
- PHP 8.4 用户 → 升级至 8.4.27 或更高
- PHP 8.5 用户 → 升级至 8.5.12 或更高
推荐从windows.php.net（Windows）或php.net/downloads（Linux/macOS）获取官方二进制包或源码。使用包管理器（如apt、yum、brew）的用户，请先执行 sudo apt update && sudo apt upgrade php 等操作，确保仓库已同步最新版本。
检查关联应用是否同步兼容
Magento、WordPress、Drupal、Laravel等主流PHP应用虽不直接受此漏洞影响，但它们依赖PHP底层的OpenSSL扩展。升级PHP后务必验证：
- 站点能否正常加载HTTPS页面（特别是含证书校验的登录、支付流程）
- 后台插件/模块是否报 OpenSSL extension not loaded 或 ssl certificate verify failed 类错误
- 运行 php -m | grep openssl 确认扩展仍被正确加载
部分老旧CMS（如某些WordPress插件）若硬编码了旧版OpenSSL函数调用方式，可能在升级后出现兼容性警告，此时需更新插件或临时调整 openssl.cafile 配置路径。
临时缓解不推荐，但应急可用
若因业务原因无法立即升级PHP，可考虑以下临时措施（仅降低风险，不能根除）：
- 禁用非必要场景下的OpenSSL证书验证（如cURL中设 CURLOPT_SSL_VERIFYPEER => false），但会牺牲安全性，仅限内网调试
- 通过Web服务器（Nginx/Apache）限制对含证书解析功能的API接口的访问来源
- 在WAF层拦截含异常ASN.1结构的请求（需定制规则，效果有限）
这些方法不能替代升级，且可能引入新问题，建议仅作为上线前过渡手段。
