如何修复PHP8.4.27的远程代码执行漏洞-php教程-PHP中文网

php 8.4.27 是修复 cve-2026-109618 和 cve-2026-109619 的正式安全版本，需确认其真实生效：通过 phpinfo() 页面验证 web 实际运行版本，而非仅依赖 php -v 或未重启服务的升级操作。

如何修复php8.4.27的远程代码执行漏洞

PHP 8.4.27 就是修复 CVE-2026-109618 和 CVE-2026-109619 这两个 RCE 漏洞的正式版本，不是“带漏洞的版本”——你不需要对 8.4.27 做额外修复，而是要确认它是否真正生效。

很多运维人员执行了升级命令，但没重启服务，导致 Web 服务器仍在用旧进程跑老版本。最可靠的方式是直接让 PHP 自己说话：

在 Web 可访问目录下新建 phpinfo.php，内容为 <?php phpinfo(); ?>，通过浏览器打开，搜索 “Version”，看右栏显示是否为 8.4.27
终端执行 php -v 只能查 CLI 版本，不能代表 Web 请求实际使用的版本；PHP-FPM 用户必须查 php-fpm -v 或看 ps aux | grep php-fpm 对应进程的启动路径
宝塔、AMH、cPanel 等面板用户，务必进到“PHP 管理”页，点“重载配置”或“重启服务”，不能只点“切换版本”就认为完成

即使版本号正确，也可能因环境残留导致风险未解除：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

某些 Docker 镜像（如 php:8.4-apache）在 10 月 21 日前构建的层仍含旧二进制，apt update && apt install -y php8.4 不会覆盖已安装的 libphp.so，必须重建镜像或手动替换 /usr/lib/apache2/modules/libphp.so
PHP-FPM 配置中若启用了 clear_env = no，且旧进程未完全退出，可能复用上一代环境变量和共享内存段，建议加 kill -USR2 强制平滑重启，而非仅 reload
部分 Nginx + PHP-FPM 部署中，fastcgi_pass 指向的是 socket 文件路径（如 unix:/var/run/php/php8.4-fpm.sock），但该 socket 实际由旧版 FPM 进程监听——需检查 ls -l /var/run/php/ 的 socket 创建时间，并比对 systemctl status php8.4-fpm 的启动时间

官方明确表示“没有完整替代补丁的配置缓解方案”，但以下操作可提高利用门槛（仅限过渡期，不可代替升级）：

Apache mod_php 用户：在 httpd.conf 或虚拟主机配置中添加 php_admin_flag engine off，仅对非 PHP 资源目录启用，避免攻击在路由前触发
PHP-FPM 用户：在池配置（如 www.conf）中设 pm.max_requests = 500（而非默认 0），强制 worker 定期回收，降低 stale state 复用概率
所有环境：关闭 display_errors = Off 并确保 log_errors = On，防止 OOM 错误信息泄露内存布局细节，这对 CVE-2026-109618 的利用链有干扰作用

最关键的遗漏点：很多人升级完只验证了首页，但没测 phpinfo() 页面是否还能访问——这个页面本身就会暴露版本和扩展细节，而攻击者正依赖这些信息选择对应载荷。只要它还开着，就等于把钥匙挂在门把手上。