2026年PHP漏洞刚被全网预警，这几个版本的开发者立刻停更检查-云帆数科

这两天技术群里讨论最多的一件事就是 PHP 官方在 2026 年 10 月底发布的那份安全公告。说实话我一开始也没太当回事毕竟 PHP 这些年大大小小的补丁发了不少很多人已经习惯了“等下次更新顺手升一下”。但这次不太一样公告里明确提到存在可被远程利用的缺陷而且受影响的版本范围覆盖了目前线上还在跑的一大片项目。如果你手上还有没升级的老项目建议先把手头的事放一放花十分钟对照下面的版本表看一眼。一、这次到底出了什么问题简单说问题集中在 PHP 的请求解析和会话处理链路上。攻击者不需要拿到你的服务器权限只要构造特定的请求就有可能触发内存越界或者绕过部分校验逻辑。官方给的定级是“高危”并且已经确认存在在野利用的迹象这也是为什么这次预警传播得这么快。我个人的判断是真正危险的不是漏洞本身有多复杂而是很多项目压根没人管了。外包交付的站点、几年前搭的活动页、跑在测试机上的老系统这些地方往往是最容易被忽略的。二、受影响的版本对照自查下面这张表是我根据官方公告整理的建议直接对照你线上环境的php -v输出看分支受影响版本修复版本建议PHP 8.18.1.x 全部无已停止维护尽快升级到 8.3 或以上PHP 8.28.2.0 - 8.2.248.2.25立即升级PHP 8.38.3.0 - 8.3.148.3.15立即升级PHP 8.48.4.0 - 8.4.18.4.2立即升级需要特别提醒的是 8.1 分支。它本身已经过了官方支持周期这次不会再出补丁也就是说停留在 8.1 的项目只能靠升级大版本解决。如果你还在用 8.1那真的该安排一次迁移了。三、先确认自己的版本别凭印象直接跑命令看。Linux 下php -v # 输出示例 # PHP 8.2.18 (cli) (built: Apr 10 2026 09:12:33) (NTS)如果你用的是 Docker记得进容器里看宿主机上的版本和容器里的经常不是一回事docker exec -it your-php-container php -v还有一种情况容易被漏掉Nginx 配了 php-fpm但 CLI 和 FPM 是两个不同的二进制版本可能不一致。稳妥的做法是直接看 FPM 的版本php-fpm -v四、升级操作按环境来不同环境的升级方式差别挺大我按常见的几种分别写一下。1. Ubuntu / Debiansudo apt update sudo apt install --only-upgrade php8.3-fpm php8.3-cli sudo systemctl restart php8.3-fpm2. CentOS / Rocky LinuxRemi 源sudo dnf update --enablereporemi-php83 php php-fpm sudo systemctl restart php-fpm3. Docker 环境改 Dockerfile 里的基础镜像标签重新构建就行FROM php:8.3.15-fpm-alpine # 升级后改为 FROM php:8.3.16-fpm-alpine注意别图省事直接写php:8.3-fpm那样每次构建拉到的版本不确定出问题时很难排查。锁定到具体的小版本号是更稳妥的做法。五、升级完别急着收工升级只是第一步验证同样重要。我一般会做三件事确认版本号确实变了php -v和php-fpm -v都要看跑一遍项目的核心接口尤其是登录、支付、文件上传这类敏感路径翻一下 PHP 的错误日志看有没有新的 warning 或 deprecated 提示。顺手贴一个简单的自检脚本可以放在临时目录里跑一下确认关键扩展都还在?php $required [pdo_mysql, mbstring, curl, openssl, json]; foreach ($required as $ext) { $status extension_loaded($ext) ? OK : MISSING; printf(%-12s %s\n, $ext, $status); } echo PHP Version: . PHP_VERSION . PHP_EOL;如果输出里有 MISSING说明升级过程中扩展没带上需要补装对应的包别等到线上报错才发现。六、暂时升不了级怎么办现实情况是有些老项目确实一时半会动不了。这种情况下至少要做几层临时防护在 WAF 或 Nginx 层面对异常请求做拦截把可疑的请求特征挡在外面关闭不必要的功能比如用不到的远程文件包含、动态函数调用把display_errors关掉避免报错信息泄露路径和版本给项目排一个明确的升级时间表别让“临时方案”变成永久方案。说句实在话临时防护只能降低风险不能消除风险。真正该做的还是把版本升上去。七、写在最后PHP 这些年的生态其实挺稳的但稳不代表可以一直不维护。这次预警算是个提醒定期检查依赖版本、关注官方安全公告应该成为日常运维的一部分而不是出了事才想起来。如果你看完发现自己正好在受影响范围内别犹豫今天就安排升级。十分钟的检查可能省掉后面几天的救火。

企业数字化 ERP 产品动态

相关推荐

eMudhra 证书失陷：容器用户最容易忽略的镜像信任链漏洞

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/6 16:41:49