• 星期四, 十月 22, 2026

尊敬的客户：

PHP 官方于 2026 年 10 月 21 日发布紧急安全修复，涉及 CVE-2026-109618、CVE-2026-109619。在特定条件下，漏洞可能导致未经身份验证的远程代码执行。处理网站请求的 PHP 环境均应尽快排查，包括 PHP-FPM、Apache mod_php、php-cgi 等部署方式。

rootgs 官网处理情况

rootgs 官网已于 2026 年 10 月 22 日（UTC+8）完成官方安全补丁部署及服务验证，原有访问防护继续保留。此次修复针对官网运行环境；客户自行管理的云服务器、物理服务器、容器及面板内 PHP 环境，需要分别检查和更新。

建议修复版本

  • PHP 8.2：升级至 8.2.35 或包含本次修复的后续版本。
  • PHP 8.3：升级至 8.3.36 或包含本次修复的后续版本。
  • PHP 8.4：升级至 8.4.27 或包含本次修复的后续版本。
  • PHP 8.5：升级至 8.5.12 或包含本次修复的后续版本。

PHP 7.4、8.0、8.1 已结束官方常规支持。官方此次提供了最小源码回补，可由专业人员评估后编译部署；也可使用已确认修复的发行版或长期维护供应商软件包。回补不代表恢复长期支持，建议安排迁移至受支持版本。

修复操作指南

  1. 确认实际运行环境：盘点各网站绑定的 PHP 版本、FPM 服务、面板多版本实例及容器镜像。命令行 php -v 仅代表当前 CLI，不能单独证明网站使用相同版本。
  2. 做好备份及兼容性检查：备份网站代码、数据库、PHP 配置和扩展清单，确认应用、插件及 ionCube 等扩展支持目标版本，先在隔离环境验证。
  3. 安装可信修复：使用 PHP 官方源码或发行版、面板厂商已确认包含本次修复的软件包。发行版回补可能保留原版本号，应核对安全公告与软件包修订号，避免只看主版本号。
  4. 让修复实际生效：按部署方式重载或重启对应 PHP/网页服务，容器需替换修复后的镜像并重新部署；确认旧工作进程退出，所有实例均已更新。安排操作窗口，避免影响正在处理的请求。
  5. 验证业务：检查首页、登录、订单、支付回调、文件上传及后台任务，并复查错误日志。不要在生产站点运行漏洞利用脚本作为验证方式。

暂时无法升级时

请及时联系技术支持评估官方回补方案，并结合 WAF、源站访问限制及请求大小限制降低暴露面。单独部署防火墙或 WAF 不等同于完成漏洞修复，也不能替代安装安全补丁。

需要配合请联系技术支持

如需协助排查 PHP 版本、评估兼容性、安排补丁部署或处理升级异常，请通过官网在线客服或提交工单联系 rootgs 技术支持。请提供操作系统、面板及 PHP 版本、相关业务和可操作时间；不要在公开频道发送密码或密钥。

官方参考：PHP 官方安全公告；PHP 7.4 官方最小回补提交。

发布方：rootgs
发布日期：2026 年 10 月 22 日（UTC+8）

返回