官网：https://DigitalVirt.com群组：https://t.me/DigitalVirtLLC公告频道：https://DigitalVirt.net/https://digitalvirt.nethttps://digitalvirt.net/posts/868https://digitalvirt.net/posts/868Wed, 21 Oct 2026 04:45:02 GMT<i class="emoji"><b>🚨</b></i> PHP 两个严重漏洞北京时间今晚 22:00 修复：<mark class="highlight">CVE</mark>-2026-109618 / <mark class="highlight">CVE</mark>-2026-109619，CVSS v4.0 均为 9.2，疑为远程代码执行，影响可追溯到 2004 年的版本。<br /><br />修复版本：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。<br /><br />8.1 及以下已停止维护，没有补丁：尽快升级，或先用 VPN、IP 白名单隔离公网访问。<br /><br /><a href="/search/result?q=%23PHP" title="#PHP">#PHP</a> <a href="/search/result?q=%23CVE" title="#CVE">#CVE</a><br /><br />官方建议的临时缓解措施直接暴露了漏洞性质：session.upload_progress.enabled = 0（关闭PHP上传进度）<br />session.use_strict_mode = 1（严格session模式）<br /><br />multipart/form-data 上传时，PHP_SESSION_UPLOAD_PROGRESS 字段的内容会被 PHP 作为 session 数据解析（反序列化），恶意 payload 触发 PHP 内置类魔术方法 → RCE