PHP 是一种常用的网站开发语言。近日，PHP 官方修复了两项远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）。攻击者在特定条件下可利用漏洞控制服务器，造成网页篡改、数据泄露等后果。校内网站及业务系统如使用 PHP，请联系运维人员或服务商检查版本，尽快修复。

漏洞等级：高危

受影响版本及修复版本：

PHP 8.1 及更早版本也可能受到影响，建议升级至受支持的已修复版本。

漏洞修复方案：

1、备份网站文件、数据库和配置，测试业务兼容性后，将 PHP 升级至上表所列修复版本，或安装供应商提供的安全补丁。仅更新网站插件、主题或框架不能修复本次漏洞。

2、升级后重启 PHP-FPM、Apache 等相关服务；使用容器的，应更新镜像并重新部署。同一服务器安装多个 PHP 版本的，需逐一检查，确认网站实际使用的版本已修复。

3、使用托管服务的，请联系服务商确认修复情况。升级后检查登录、查询、上传等常用功能，确保业务正常。

临时解决方案：

暂时无法升级的，可由运维人员结合业务采取以下措施。配置调整后须重启全部相关 PHP 服务，并确认生效；以下措施不能替代补丁修复。

1、关闭会话上传进度功能：在 php.ini 或 PHP-FPM 服务配置中设置 session.upload_progress.enabled = 0。应在服务器配置中修改，不要仅在网站代码中设置。此项仅缓解部分攻击路径。

2、限制上传请求：按业务需要调整 post_max_size 和 upload_max_filesize，后者应小于前者；同时在 Web 服务器或代理层限制请求大小、上传数量。不需要上传的接口，可阻断上传请求。

3、PHP 8.5 可设置 fatal_error_backtraces = 0，关闭致命错误回溯。此项仅缓解已知的相关攻击路径，其他版本不适用。

限制校内访问：

近期无法修复的系统，请先限制为仅校内访问，并尽快安排升级。操作如下：

1、登录校内信息门户，搜索“ASec管理平台”，点击进入 ASec 安全综合管理平台。

2、在“网络信息”列，点击“限定从校外访问”后的编辑图标，选择“校内”，提交即可。

如操作遇到问题，或发现网页被篡改等异常，请联系计算中心。联系电话：62751023。

参考链接：

- 〔1〕PHP 官方安全公告一

- 〔2〕PHP 官方安全公告二

北京大学计算中心

2026年10月22日