版主请关注下PHP

laowang2011

  p% o/ J2 a6 F1 U- a5 L
' G9 b, ?2 b7 W

• ‌漏洞编号‌：CVE-2026-109618（内存耗尽触发）和 CVE-2026-109619（残留状态触发），CVSS 评分都是 ‌9.2 分（严重级）‌。
• ‌影响范围‌：PHP 5 及之后的所有版本，覆盖 PHP-FPM、Apache mod_php、php-cgi 等常见运行方式，其中 ‌Apache mod_php 风险最高‌，攻击者能在应用代码运行前就触发攻击。
• ‌修复版本‌：立即升级到 ‌PHP 8.5.12、8.4.27、8.3.36 或 8.2.35‌。
  + U1 [/ f. d$ W* K

8 R: ]& |- s$ r; r' QPHP 是跑在网站和服务器上的语言，手机 App 本身不运行 PHP。不过，如果你的 App 后台是 PHP 写的，攻击者就能利用漏洞拿下服务器，进而‌窃取用户数据、篡改接口内容、甚至控制整个后端‌。比如宝可梦的几款 App 就因为后端用了 PHP，已经紧急下线维护了。‌‌

, h5 A" I2 R# R: X

如果你在用 PHP 做后端，现在该做什么

• ‌确认版本‌：在服务器上跑 php -v 查看当前版本，重点排查对外提供服务的所有机器。
• ‌立即升级‌：能升就马上升，升完‌必须重启所有 PHP 进程‌（包括 FPM worker、队列任务等），否则旧进程仍带漏洞运行。
• ‌临时缓解‌：暂时升不了级的，至少关掉 Session 上传进度功能（session.upload_progress.enabled = 0）并重启 worker，但这‌只是拖延时间，不能替代升级‌。
• ‌排查痕迹‌：回看 10 月 20 日以来的日志，有没有异常的上传请求、worker 崩溃，检查服务器上有没有多出来的文件、账号或定时任务。
• 这次漏洞的可怕之处在于，它出现在 PHP 核心解析层，‌你网站上有没有上传功能、装没装安全插件都不影响被攻击‌。就算 App 本身代码没问题，底层 PHP 版本不更新，服务器就是敞开的门。
  2 Y  P0 `# f; L1 E

联系时请说是在爱上海同城对对碰交友网看到的

俩小无猜

已经升级php