🚨 PHP 两个严重漏洞北京时间今晚 22:00 修复：CVE-2026-109618 / CVE-2026-109619，CVSS v4.0 均为 9.2，疑为远程代码执行，影响可追溯到 2004 年的版本。
修复版本：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。
8.1 及以下已停止维护，没有补丁：尽快升级，或先用 VPN、IP 白名单隔离公网访问。
#PHP #CVE
官方建议的临时缓解措施直接暴露了漏洞性质：session.upload_progress.enabled = 0（关闭PHP上传进度）
session.use_strict_mode = 1（严格session模式）
multipart/form-data 上传时，PHP_SESSION_UPLOAD_PROGRESS 字段的内容会被 PHP 作为 session 数据解析（反序列化），恶意 payload 触发 PHP 内置类魔术方法 → RCE
修复版本：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。
8.1 及以下已停止维护，没有补丁：尽快升级，或先用 VPN、IP 白名单隔离公网访问。
#PHP #CVE
官方建议的临时缓解措施直接暴露了漏洞性质：session.upload_progress.enabled = 0（关闭PHP上传进度）
session.use_strict_mode = 1（严格session模式）
multipart/form-data 上传时，PHP_SESSION_UPLOAD_PROGRESS 字段的内容会被 PHP 作为 session 数据解析（反序列化），恶意 payload 触发 PHP 内置类魔术方法 → RCE
