⚠️【紧急预警】PHP 核心曝两个严重 RCE 漏洞，补丁北京时间 10 月 21 日（周三）22:00 发布
各位机场、IDC 老板和运维请注意：
PHP 官方安全团队 10 月 20 日在 php.net 发布预告，将于 10 月 21 日 14:00 UTC（北京时间 22:00）发布安全更新，修复两个严重漏洞，CVSS v4.0 评分均为 9.2。如果细节提前泄露或发现在野利用，官方会提前发布。
📌 目前已知
编号：CVE-2026-109618、CVE-2026-109619
安全公司 watchTowr 已确认两个都是远程代码执行（RCE），也就是可以拿 shell。
漏洞在 PHP 本身，不在某个面板或框架里。面板代码写得再干净也挡不住。
Sansec 等安全公司称 PHP 5.4 及以后的版本都受影响。具体范围以官方公告为准。
只有 8.2、8.3、8.4、8.5 会收到官方补丁。8.1 及以下（包括大量还在跑的 5.6 和 7.x）官方不会修。
安全公司预计补丁发布后 15 分钟内就会出现大规模扫描和攻击。
📌 为什么跟我们关系特别大
SSPanel、V2Board、WHMCS 以及基于它们二开的各种面板，全部基于 PHP。不少老站至今还跑在 7.x 甚至 5.x 上，这次是没有补丁可打的。面板一旦被拿 shell，数据库（用户资料、订阅链接）、节点通信密钥、支付接口密钥会全部暴露，节点也可能被批量接管。根据 Mallory 的统计，中国大陆 75%、香港 70% 的公网 PHP 主机跑的是不会收到补丁的版本。
✅ 今天就该做的
1️⃣ 盘点：列出所有对公网的 PHP 机器，用 php -v 确认版本，记下运行方式（php-fpm、mod_php 或 php-cgi）。测试站、旧站、备用面板和 Docker 镜像都不要漏。
2️⃣ 8.2 及以上：提前排好维护窗口，22:00 补丁一出就升级，升级后重启 php-fpm。注意 apt/yum 源、宝塔软件商店和 Docker 镜像的更新可能会比官方晚几个小时。
3️⃣ 8.1 及以下：没有补丁。尽快迁到 8.2 以上。短期内来不及迁的，管理后台加 IP 白名单，面板前面放 WAF，或者干脆先下线，等迁移完成再上。
4️⃣ 备份：数据库和站点文件现在就做一份离线备份。
5️⃣ 准备监控：留意 php-fpm 或 web 进程派生出的异常子进程（sh、bash、curl、wget），以及 web 目录下新出现的 .php 文件。
🔧 临时加固（非官方确认，仅供参考）
有消息称漏洞与 session 上传进度功能有关，安全公司 Sansec 也提到了 session.upload_progress.enabled 和 session.use_strict_mode 两个配置项。可以在 php.ini 中设置：
session.upload_progress.enabled = 0
session.use_strict_mode = 1
这两项本身就是低成本的加固，大部分面板用不到上传进度功能，可以先改上，改之前请自行测试。但这代替不了升级，官方细节公布后以官方说法为准。
🔁 补丁发布后
确认版本号已更新。预计是 8.2.35、8.3.36、8.4.27、8.5.12，以官方公告为准。
如果补丁前已经暴露了一段时间，检查有没有 webshell，并轮换数据库密码、节点通信密钥（mu_key 或节点 token）、支付接口密钥和 APP_KEY。
官方公告：
https://www.php.net/archive/2026.php#2026-10-20-1