当 PHP 半夜"裸奔"：一次腾讯云服务器的紧急打补丁
当 PHP 半夜"裸奔"：一次腾讯云服务器的紧急打补丁
一、十月底，一条安全公告把我从躺平状态炸醒
十月底，朋友圈还没从国庆的节奏里缓过来，PHP 官方却甩出一条"紧急安全公告"：两个高危远程代码执行（RCE）漏洞，CVSS 评分 9.2，几乎点名了所有还在跑 PHP 的服务器。
关键词很吓人：未认证、远程、代码执行。翻译成人话就是——你什么都不用做，别人只要给你服务器发一个精心构造的请求，就能在你的机器上跑他写的代码。
而我，刚好有一台腾讯云的服务器，上面跑着 PHP。
二、这俩漏洞到底怎么回事
官方编号很工整：
- CVE-2026-109618：内存管理在"内存不足"时的处理有缺陷。攻击者发一个特殊的
multipart/form-data请求，PHP 在解析到一半出错时，可能把没初始化干净的内存当成有效的来处理，于是内存被污染、代码被执行。 - CVE-2026-109619：一个请求出错后，它内部的一些"状态"没清干净，还指向了已经释放的内存。下一个请求复用同一个 worker 时，就踩进了这块"已释放的内存"，同样能导致代码执行。
两者都藏在内存管理和错误处理这种"几乎每个请求都会经过"的地方，所以影响面极广：PHP 8.2 / 8.3 / 8.4 / 8.5 的受影响版本统统中招，WordPress、Drupal、Laravel 这些基于 PHP 的程序也都跟着躺枪。官方给的修复版本是 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12。
用 mod_php 的站点风险最高——一个未认证请求就能在应用代码跑起来之前触发漏洞。
三、我的服务器也在射程里
我那台腾讯云上跑的是宝塔面板管理的 PHP（云厂商自研的 Linux 系统），Web 服务、博客、几个小工具都靠它活着。看到公告的瞬间，我的第一反应是：赶紧看看版本。
php -v 一敲，果然在受影响区间。得，周末的清闲没了，先保命要紧。
四、打补丁：宝塔一键，十分钟收工
本来以为要编译源码、改配置、生怕依赖冲突，结果比想象中轻松太多。
- 登录腾讯云，进宝塔面板；
- 打开软件商店 → 已安装，找到 PHP；
- 点升级，选官方刚发布的安全版本（我这套 PHP 对应的修复版）；
- 升级完成后，顺手把 PHP 服务（PHP-FPM）和 Web 服务（Nginx） 都重启了一遍，确保新版本真正生效；
- 再
php -v看一眼，版本号变了，心里一块石头落地。
本质上是"一键升级 + 重启服务"，没有编译、没有依赖地狱，宝塔把脏活都干了。从看到公告到彻底打完，前后不到十分钟。
五、打完补丁，顺手做几件小事
- 重启不是可选项：升级完一定要重启 PHP 和 Web 服务，不然 worker 还跑着旧版本，等于白打。
- CLI 和 Web 可能不是同一个 PHP：
php -v是命令行版本，网站实际用的是 FPM 版本，两个都得确认到安全版。 - 翻了下日志：趁热看一眼有没有异常的请求、崩溃、陌生的进程，确认没在打补丁前已经被摸过。
- 订阅公告：这种"未认证 RCE"以后还会有，盯着 PHP 官方和 CNCERT 的安全公告，比事后救火强。
六、写在最后
这次漏洞最让人后怕的不是技术细节，而是"你什么都不用做，别人就能进来"。好在修复版本发得快，宝塔这种面板又把升级门槛降到了"点一下"。
服务器运维就是这样：平时安静得像不存在，一旦公告出来，就知道平时那点"顺手升级"的习惯有多值钱。
打完补丁，关掉面板，继续躺平。这次，躺得踏实了。