PHP被披露其存在远程代码执行漏洞，漏洞编号分别为CVE-2026-109618, CVE-2026-109619，代号 "php2shell"。可导致未经身份验证的远程攻击者通过发送特制的 multipart POST 请求，触发内存破坏并最终实现远程代码执行，从而完全控制服务器。

　　PHP官方发布声明称，在10月20日(星期二) 约UTC时间15:00，涉及本次漏洞的两个CVE编号开始在在线论坛和社交媒体上流传。OpenAI就PHP软件中发现的严重漏洞发表声明，指出鉴于漏洞的严重性和PHP的广泛使用，这是近期影响最大的漏洞之一。具体见官方通告：https://www.php.net/archive/2026.php 相关安全机构问题复现：https://mp.weixin.qq.com/s/CBoGqz9fC3cEb_OrK90wlA

　　为避免您的业务受影响，嘉裕云建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。注意以下方法为临时解决方案，请密切关注官方推出的补丁，及时升级更新。

　　一、修复方法

　　在所有 PHP 环境的 php.ini 配置文件中，将以下参数设置为 Off：

　　session.upload_progress.enabled = Off

　　若配置文件中不存在该行，请在 [Session] 段落下手动添加上述内容。修改保存后，必须重启或重载对应的 PHP / Web 服务，否则配置不会生效。

　　二、各环境操作系统修复方案

　　(一)、Windows 方案

　　路径说明

　　Windows 下 PHP 通常按版本分目录存放，例如 Windows 版常见路径为 D:\SOFT_PHP_PACKAGE\phpXX(XX 为版本号，如 php54、php74、php82)。每个 PHP 版本目录下各有一个独立的 php.ini，必须逐个修改。

　　修改参数

　　用文本编辑器(建议以管理员权限运行)打开该 php.ini，搜索 session.upload_progress.enabled，将值改为 Off：

　　session.upload_progress.enabled = Off

　　若文件中不存在该行，在 [Session] 段落下手动添加上述内容。

　　重启服务

　　保存后重启对应的 Web 服务。IIS 需重启对应应用程序池或 IIS 服务;Apache/Nginx 需重启对应的 PHP-CGI/FPM 进程或服务本身。

　　多版本提醒：D:\SOFT_PHP_PACKAGE\ 下若有 php54、php74等多个目录，每一个目录下的 php.ini 都要改并分别重启。 建站助手安装php可以服务器上下载 fix_zhushou_php2shell.bat. 双击运行,即可全部php.ini批量修改。

　　(二)、Linux 方案

　　1. 修改全局 php.ini

　　根据发行版找到对应版本的 php.ini：

　　环境路径参考

　　Debian/Ubuntu(多版本) /etc/php/<版本号>/fpm/php.ini 或 /etc/php/<版本号>/apache2/php.ini

　　RHEL/CentOS/Remi /etc/php.ini 或 /etc/opt/remi/php<版本号>/php.ini

　　编译安装 /usr/local/php/etc/php.ini 或 /usr/local/lib/php.ini

　　搜索并修改：

　　session.upload_progress.enabled = Off

　　保存后重启对应服务，例如：

　　systemctl restart php-fpm # 或 php8.2-fpm 等具体服务名

　　systemctl restart httpd # 或 apache2 / nginx

　　2. PHP-FPM 强制生效(推荐生产环境)

　　防止站点通过 .user.ini/.htaccess 覆盖，在 FPM 池配置(如 /etc/php/8.x/fpm/pool.d/www.conf)的 [www] 段添加：

　　php_admin_flag[session.upload_progress.enabled] = off

　　重载 FPM：

　　systemctl reload php-fpm

　　(三)、宝塔面板方案(Windows / Linux 通用)

　　登录宝塔后台 → 软件商店 → 已安装。

　　找到列表中所有已安装的 PHP 版本(如 PHP 5.4、5.6、7.4、8.2 等)，逐一点击右侧 “设置”。

　　进入 PHP 管理界面 → 点击 “配置文件” 选项卡。

　　在配置内容中搜索 session.upload_progress.enabled，将 On 改为 Off：

　　session.upload_progress.enabled = Off

　　若未搜到，在 [Session] 段落下手动添加。

　　点击 “保存”。

　　回到该 PHP 版本设置首页 → “服务” 选项卡 → 点击 “重载配置” 或 “重启”。

　　对每一个已安装的 PHP 版本重复以上步骤。

　　保存时若提示权限不足，可临时关闭宝塔“系统加固”后再试。

　　(四)、WDCP 环境修复方案

　　WDCP 的多版本 PHP 存放在 /www/wdlinux/phps/ 下，以版本号命名目录(如 72 代表 PHP 7.2)。对应的 php.ini 通常位于 /www/wdlinux/phps/<版本号>/etc/php.ini

　　修改配置

　　使用 SSH 登录服务器，编辑上述对应的 php.ini 文件：

　　vi /www/wdlinux/etc/php.ini

　　搜索 session.upload_progress.enabled，将其值改为 Off：

　　session.upload_progress.enabled = Off

　　修改后必须重启 PHP 使配置生效，WDCP 的重启命令与常规 systemd 服务不同。(以 PHP 7.2 为例)

　　/www/wdlinux/phps/72/bin/php-fpm restart