PHP两项高危远程代码执行漏洞安全公告

PHP 官方发布了一则安全预告：

将在 10 月 21 日发布一次紧急安全更新，修复两个严重级别的安全漏洞。两个漏洞的 CVSS v4.0 评分均为 9.2 分。

https://www.php.net/archive/2026.php#2026-10-20-1

等待官方补丁升级:

待PHP官方于今日22:00发布安全修复版本后，请根据业务环境使用的PHP分支，第一时间升级至对应安全修复版本；

使用宝塔面板、容器镜像或其他运维服务的用户，待服务商同步更新后及时完成升级。

升级前请务必做好全站数据与配置备份，升级后重启PHP服务并验证业务可用性。

宝塔面板用户如何暂时应急防护:

修改php.ini配置文件，添加或调整以下配置项，关闭会话上传进度功能并开启严格模式：

session.upload_progress.enabled = 0

session.use_strict_mode = 1

修改完成后重启PHP-FPM或对应Web服务，确认配置生效。