2026年10月21日，PHP官方发布紧急安全更新，修复CVE-2026-109618、CVE-2026-109619两个CVSS v4.0评分为9.2的高危漏洞，攻击者在特定条件下可能无需登录即可远程执行代码。使用PHP的企业网站，即使已经升级，也建议再做一次完整自查。本文整理一份可操作的清单。漏洞细节、影响范围和修复版本，请以PHP官方公告为准。
一、先确认：网站是否使用PHP，版本是多少
可以通过服务器命令、容器或服务器面板确认PHP版本：
php -v php-fpm -v # 如果使用Docker docker ps docker exec 容器名 php -v
根据公开资料，本次修复版本为：PHP 8.2.35、8.3.36、8.4.27、8.5.12及以上（以官方公告为准）。低于对应版本的，需要升级；使用已不再获得官方安全支持的旧版本，应尽快制定升级计划，不要只等待补丁。
另需注意：2026年10月23日PHP又披露一例高危远程代码执行问题（CVE-2026-115560），10月21日上述版本未修复该问题；官方缓解措施为关闭会话上传进度功能（session.upload_progress.enabled=0），正式修复随下一常规版本发布。升级到上述版本不等于全部PHP问题解决，仍需按官方公告持续跟进。
二、升级：先备份，再升级
第一步：备份网站代码、数据库和配置文件，并确认备份可以恢复。
第二步：在测试环境验证网站能否正常运行，注意不同PHP版本之间可能存在不兼容。
第三步：正式升级，并重启PHP-FPM、Apache等相关服务。
第四步：再次确认版本号，确保生效。
三、日志核查：升级之后也要做
因为公开信息有限，不建议只依赖单一特征判断，可以从以下几个方向检查：
Web访问日志：是否有集中来源的异常请求、大量POST请求、超长参数。
PHP错误日志：10月20日前后是否有内存耗尽、进程异常退出等记录。
文件变化：近期是否有被修改或新增的PHP文件，可参考下面的命令。
系统层面：计划任务、新增用户、异常进程和异常出站连接。
find /var/www -type f -name "*.php" -mtime -7 crontab -l
需要说明的是：没有发现异常，不等于一定没有风险，但能降低风险。发现异常时，建议先保留日志，再联系专业人员处理。
四、备份与回滚预案
备份范围：代码、数据库、上传文件和配置。
备份方式：至少保留一份异地备份，并定期做恢复演练。
回滚步骤：提前写清楚升级失败时如何恢复。如果回滚到存在漏洞的版本，需要同时限制访问或增加防护措施，不要长期裸露。
五、升级后验证
检查首页、后台登录、表单提交、支付和第三方接口是否正常，查看错误日志，并在升级后的24小时内持续观察。
六、没有技术人员怎么办
使用虚拟主机或云服务的企业，可以向主机商确认是否已升级；有网站服务商的，请联系服务商确认处理情况，并要求提供升级记录。
七、杭州派迪科技的做法
杭州派迪科技在漏洞公开后，向客户发出通知，对受影响的网站做了升级处理，具体经过见《PHP曝9.2分高危漏洞那一夜：杭州派迪科技连夜为客户网站做了什么？》。
八、常见问题
升级PHP会影响网站吗？
可能会。不同版本之间存在差异，所以建议先在测试环境验证，再正式升级。
升级之后还需要检查日志吗？
需要。升级只能修补漏洞，不能说明升级之前是否被利用过。
本文为通用建议，具体处置请以PHP官方公告和实际服务器环境为准。
