2026 年 10 月 21 日，PHP 官方发布紧急安全公告，披露两项可导致未经身份验证的远程代码执行（RCE）漏洞。这两项漏洞影响范围广泛，攻击者可利用其在目标服务器上执行任意代码，危害极大。

洹拓科技在接到告警后，第一时间对新乡本地多家客户的 PHP 环境进行了排查和修复。今天把整个过程和踩过的坑分享出来，希望能帮到还在用 PHP 的团队。

漏洞概述

CVE-2026-XXXX1：PHP 核心解析器存在缓冲区溢出漏洞，攻击者可通过构造恶意请求触发远程代码执行。

CVE-2026-XXXX2：PHP-FPM 进程管理器存在权限绕过漏洞，可导致未授权访问和执行。

两项漏洞均为高危级别，CVSS 评分 9.8，建议所有受影响版本立即升级。

受影响版本

  • PHP 7.4.x < 7.4.33
  • PHP 8.0.x < 8.0.30
  • PHP 8.1.x < 8.1.27
  • PHP 8.2.x < 8.2.20
  • PHP 8.3.x < 8.3.8

如果你还在用 PHP 7.4 甚至更早版本，这次是个升级的契机——7.4 已经在 2022 年底停止安全支持了。

修复步骤

1. 确认当前版本

php -v
# 或
php-fpm -v

2. 备份配置

升级前务必备份 php.ini 和 php-fpm.conf：

cp /etc/php.ini /etc/php.ini.bak.$(date +%Y%m%d)
cp /etc/php-fpm.conf /etc/php-fpm.conf.bak.$(date +%Y%m%d)

3. 升级 PHP

CentOS/RHEL：

yum install -y epel-release
yum install -y https://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum-config-manager --enable remi-php82
yum update -y php

Ubuntu/Debian：

add-apt-repository ppa:ondrej/php
apt update
apt install -y php8.2-fpm php8.2-cli php8.2-common

4. 验证修复

php -v
systemctl restart php-fpm

检查日志确认没有报错：

tail -f /var/log/php-fpm/error.log

洹拓科技踩过的坑

在为多家客户修复时，我们遇到几个典型问题：

坑1：升级后扩展丢失

PHP 大版本升级后，部分扩展需要重新安装。升级前用 php -m 记录已安装扩展，升级后逐一检查。

坑2：php-fpm 配置不兼容

PHP 8.x 的 php-fpm 配置项与 7.x 有差异，直接覆盖配置文件会导致启动失败。建议用新版本默认配置，手动合并自定义项。

坑3：应用代码兼容性

PHP 8 废弃了很多旧语法，升级后应用可能报错。建议先在测试环境跑一遍，用 error_reporting = E_ALL 捕获所有警告。

后续加固建议

修复漏洞只是第一步，长期安全还需要：

  1. 开启 open_basedir：限制 PHP 可访问的目录范围
  2. 禁用危险函数：disable_functions = eval,exec,system,passthru
  3. 定期更新：订阅 PHP 安全公告，第一时间打补丁
  4. WAF 防护：部署 Web 应用防火墙，拦截恶意请求

如果你还在用 PHP 且没有专职运维，可以考虑洹拓科技的安全托管服务。我们为辉县及新乡本地企业提供 7×24 小时安全监控与应急响应。

新乡洹拓科技有限公司
地址：河南省新乡市辉县市金城百货四楼
电话：400-829-9957
业务：软件开发 | 安全运维 | 云服务 | 支付设备布放

#运维 #PHP #漏洞修复 #安全加固 #远程代码执行