⚠️PHP严重安全漏洞紧急预警，CVSS评分9.2，请尽快做好防护升级
PHP官方发布预告，将发布高危安全补丁，两处漏洞均为严重级别，所有运行PHP业务的服务器务必高度重视，提前做好应急准备。
漏洞基本情况
PHP安全团队于2026‑10‑20发布提前安全通告，计划2026‑10‑21 14:00 UTC（北京时间今晚22:00） 发布紧急安全版本，修复2个核心严重安全漏洞，两个漏洞CVSS v4.0评分均高达9.2分，属于高危严重漏洞。
官方提示：如果漏洞细节提前泄露、或者互联网出现漏洞被实际利用的迹象，官方有权提前放出修复包，发布时间存在不确定性。完整漏洞细节、受影响版本、修复版本号会随新版本同步对外公布。
PHP作为广泛使用的Web脚本语言，大量网站、建站程序、主机面板、企业业务系统均依赖PHP环境，一旦漏洞被利用，攻击者可能造成代码执行、数据泄露、服务器被入侵等严重后果，所有PHP运维人员需要立刻行动起来。
官方公告地址：https://www.php.net/index.php#2026-10-20-1
紧急操作建议
一、升级准备工作
全面排查所有PHP版本：梳理服务器、容器、虚拟主机上全部PHP环境，不要遗漏多版本共存、业务子站点、面板内置PHP。
业务完整备份：升级补丁前，对网站代码、数据库、服务器配置进行完整备份，防止升级过程出现业务异常。
做好升级预案：等待官方修复版本发布后第一时间升级PHP到对应修复版本。
宝塔面板将在PHP官方修复版本发布后，同步推送更新，宝塔用户可留意面板更新提醒。
二、临时加固配置（补丁出来前缓解风险）
在php.ini配置文件中添加/修改下面两项配置，作为临时防护手段：
session.upload_progress.enabled=0 session.use_strict_mode=1
修改完成后必须重启PHP‑FPM / php服务，重启完成后务必访问业务站点，确认网站功能正常可用。
⚠️重要提醒：以上配置仅为临时加固手段，不能完全消除漏洞风险，最终防护效果以PHP官方发布的安全公告和修复补丁为准，发布补丁后请第一时间升级PHP版本，不要只依赖配置加固。
后续注意事项
补丁发布后优先升级PHP，不要拖延；
升级完成后观察服务器访问日志，排查是否存在异常访问、攻击行为；
持续关注PHP官网安全公告，获取漏洞完整技术细节；
如暂时无法升级，需要评估业务风险，必要时采取限流、限制访问等降级防护手段。
👇详细情况及安全防护建议，可查看：https://mp.weixin.qq.com/s/BmjozLhELsjfXQh6BxMAfQ
本文为安全预警，一切以PHP官方发布正式安全公告为准。
发表评论