PHP 8.3.0至8.3.35版本受CVE-2026-109618和CVE-2026-109619漏洞影响，session.upload_progress为关键攻击入口；需升级至8.3.36或禁用该功能并重启进程。
是的，PHP 8.3（及所有受影响版本）中 session.upload_progress 功能直接关联两个高危远程代码执行漏洞：CVE-2026-109618 和 CVE-2026-109619。
session.upload_progress 是主要攻击入口之一
该功能默认开启，无需应用调用 session_start() 即可触发。漏洞利用不依赖业务逻辑，仅需构造特定 multipart POST 请求即可：
- CVE-2026-109619（释放后使用）明确将 session 上传进度作为一条稳定可利用路径；官方确认其在 PHP-FPM 和 mod_php 下均可远程 RCE。
- CVE-2026-109618（OOM 内存损坏）虽不专属于 upload_progress，但攻击者常结合大量空文件控件、嵌套字段名等绕过
post_max_size，在触发内存耗尽时与 upload_progress 的状态处理产生交叠，加剧利用成功率。 - 实际利用链中，攻击者通过 upload_progress 写入可控会话 ID 和文件名，配合内存泄露+地址复用，在特定配置下甚至可进一步触发反序列化执行。
哪些 PHP 8.3 版本受影响
所有 低于 8.3.36 的 PHP 8.3.x 版本均存在风险，包括：
Browser Session Manager
下载
使用 Playwright 为 jimeng.jianying.com 管理浏览器会话，导入 cookies/localStorage 以自动化视频生成工作流，支持图片上传等功能
- 8.3.0 至 8.3.35（全部受波及）
- 8.3.36 是官方发布的首个修复版本，已彻底修补这两个漏洞
临时缓解必须关闭 upload_progress
若暂无法升级，唯一有效缓解措施是全局禁用该功能：
- 在
php.ini、FPM 池配置（如www.conf）或 Apache 的httpd.conf中添加：session.upload_progress.enabled = 0 - 该设置必须在请求解析前生效，
ini_set()或.user.ini无效 - 修改后必须重启全部 PHP 工作进程（如
systemctl restart php8.3-fpm）
升级是最根本的解决方案
缓解只是权宜之计，不能替代升级：
- PHP 8.3.36 是官方指定修复版本，已同步发布至 Docker Hub、Debian 官方源等主流渠道
- 升级后需验证 Web SAPI 实际运行版本（例如用
php-fpm8.3 -v），避免仅检查 CLI 版本造成误判 - PHP 8.1 及更早分支已停止支持，不再接收补丁，必须迁移至 8.2.35/8.3.36/8.4.27/8.5.12 等受支持版本
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
