PHP 被披露其存在远程代码执行漏洞，漏洞编号分别为CVE-2026-109618, CVE-2026-109619，代号 "php2shell"。可导致未经身份验证的远程攻击者通过发送特制的 multipart POST 请求，触发内存破坏并最终实现远程代码执行，从而完全控制服务器。
PHP官方发布声明称，在10月20日（星期二） 约UTC时间15:00，涉及本次漏洞的两个CVE编号开始在在线论坛和社交媒体上流传。OpenAI就PHP软件中发现的严重漏洞发表声明，指出鉴于漏洞的严重性和PHP的广泛使用，这是近期影响最大的漏洞之一。具体见官方通告：https://www.php.net/archive/2026.php
为避免您的业务受影响，麦田网络建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。注意以下方法为临时解决方案，请密切关注官方推出的补丁，及时升级更新。
一、修复方法
在所有 PHP 环境的 php.ini 配置文件中，将以下参数设置为 Off：
session.upload_progress.enabled = Off
若配置文件中不存在该行，请在 [Session] 段落下手动添加上述内容。修改保存后，必须重启或重载对应的 PHP / Web 服务，否则配置不会生效。
二、各环境操作系统修复方案
（一）、Windows 方案
路径说明
Windows 下 PHP 通常按版本分目录存放，例如 Windows 版常见路径为 D:SOFT_PHP_PACKAGEphpXX（XX 为版本号，如 php54、php74、php82）。每个 PHP 版本目录下各有一个独立的 php.ini，必须逐个修改。
修改参数
用文本编辑器（建议以管理员权限运行）打开该 php.ini，搜索 session.upload_progress.enabled，将值改为 Off：
session.upload_progress.enabled = Off
若文件中不存在该行，在 [Session] 段落下手动添加上述内容。
重启服务
保存后重启对应的 Web 服务。IIS 需重启对应应用程序池或 IIS 服务；Apache/Nginx 需重启对应的 PHP-CGI/FPM 进程或服务本身。
多版本提醒：D:SOFT_PHP_PACKAGE 下若有 php54、php74、php82 等多个目录，每一个目录下的 php.ini 都要改并分别重启。
（二）、Linux 方案
1. 修改全局 php.ini
根据发行版找到对应版本的 php.ini：
境路径参考
Debian/Ubuntu（多版本） /etc/php/<版本号>/fpm/php.ini 或 /etc/php/<版本号>/apache2/php.ini
RHEL/CentOS/Remi /etc/php.ini 或 /etc/opt/remi/php<版本号>/php.ini
编译安装 /usr/local/php/etc/php.ini 或 /usr/local/lib/php.ini
搜索并修改：
session.upload_progress.enabled = Off
保存后重启对应服务，例如：
systemctl restart php-fpm # 或 php8.2-fpm 等具体服务名
systemctl restart httpd # 或 apache2 / nginx
2. PHP-FPM 强制生效（推荐生产环境）
防止站点通过 .user.ini/.htaccess 覆盖，在 FPM 池配置（如 /etc/php/8.x/fpm/pool.d/www.conf）的 [www] 段添加：
php_admin_flag[session.upload_progress.enabled] = off
重载 FPM：
systemctl reload php-fpm
（三）、宝塔面板方案（Windows / Linux 通用）
登录宝塔后台 → 软件商店 → 已安装。
找到列表中所有已安装的 PHP 版本（如 PHP 5.4、5.6、7.4、8.2 等），逐一点击右侧 “设置”。
进入 PHP 管理界面 → 点击 “配置文件” 选项卡。
在配置内容中搜索 session.upload_progress.enabled，将 On 改为 Off：
session.upload_progress.enabled = Off
若未搜到，在 [Session] 段落下手动添加。
点击 “保存”。
回到该 PHP 版本设置首页 → “服务” 选项卡 → 点击 “重载配置” 或 “重启”。
对每一个已安装的 PHP 版本重复以上步骤。
保存时若提示权限不足，可临时关闭宝塔“系统加固”后再试。
（四）、WDCP 环境修复方案
WDCP 的多版本 PHP 存放在 /www/wdlinux/phps/ 下，以版本号命名目录（如 72 代表 PHP 7.2）。对应的 php.ini 通常位于 /www/wdlinux/phps/<版本号>/etc/php.ini
修改配置
使用 SSH 登录服务器，编辑上述对应的 php.ini 文件：
vi /www/wdlinux/etc/php.ini
搜索 session.upload_progress.enabled，将其值改为 Off：
session.upload_progress.enabled = Off
修改后必须重启 PHP 使配置生效，WDCP 的重启命令与常规 systemd 服务不同。（以 PHP 7.2 为例）
/www/wdlinux/phps/72/bin/php-fpm restart
三、关键提醒
逐版本处理：Windows 的 D:SOFT_PHP_PACKAGEphpXX 多目录、Linux 的多版本 php.ini、宝塔的多 PHP 版本，每一个都必须单独修改并重启，漏一个等于没修。
重载/重启必做：仅保存配置文件不会生效。
临时措施：待官方补丁发布并升级后，再评估是否恢复；关闭后仅影响上传进度条，$_FILES 正常上传不受影响。
安全无小事，请务必高度重视、立即执行。如有技术疑问，请及时联系技术支持。
特此通知。
