福建
一次高危漏洞里，最危险的不是最新版本，是那些连官方补丁都拿不到的旧系统。
10月21日，PHP官方发布紧急更新，修复两个可导致未授权远程代码执行的漏洞，编号CVE-2026-109618和CVE-2026-109619，社区代号“PHP2Shell”，CVSS 4.0评分9.2。
官方修复版本为PHP 8.5.12、8.4.27、8.3.36、8.2.35；受影响的是各分支低于该版本的8.5.x、8.4.x、8.3.x、8.2.x。
关键在后面半句：8.1及更早分支已停止官方维护，不发布正式修复版本。
这是开源软件最常见的长尾问题。8.1并非不能用，只是不再有人为它修漏洞。大量老旧系统恰好停在停止维护的版本上，因为它们跑得稳，没人愿意动。
官方给这类用户的方案是源码回移补丁，需要自行编译：PHP 7.4、8.0、8.1 各有对应分支；也可以向操作系统发行版或商业LTS服务商索取已回移修复的软件包。
更麻烦的是看不见的PHP。它不只在网站目录里，还藏在容器镜像、cPanel与Plesk等控制面板、厂商设备内置运行时，甚至Windows环境捆绑的php-cgi.exe中。
漏洞位于解释器内核，攻击者只需发送一个特制的POST请求，就能在业务代码执行之前拿到服务器控制权限。这意味着换框架、删插件都不解决问题。
国家网络安全通报中心的建议是升级到安全版本。操作上有三步：用php -v确认实际承载请求的二进制已修复；重启全部工作进程；逐一核对开发、测试、生产环境。
暂不能升级的可以做临时缓解：调整memory_limit、关闭session.upload_progress、把FPM的pm.max_requests设为1以阻断跨请求状态传递，并用WAF拦截异常请求。代价是性能下降。
更根本的一课是资产清点。多数中招不是因为不想打补丁，而是因为不知道自己还有一台机器在跑PHP。
来源：澎湃新闻（国家网络安全通报中心）、CNVD
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
