针对PHP官方披露的两个高危内核漏洞PHP2Shell如何临时防范？
编者按：
2026年10月21日PHP官方披露的两个高危内核漏洞，CVE-2026-109618和CVE-2026-109619，被安全界统称为“PHP2Shell”。它们的CVSS v4.0评分为9.2，属于严重级别，允许未经身份验证的攻击者在业务代码执行之前远程执行代码（RCE），PHP官方安全团队已声明，这两个漏洞没有“完整的缓解措施”，将PHP升级到安全版本（8.2.35、8.3.36、8.4.27或8.5.12）是唯一根治的方法。 以下所有方案，都是在无法立即升级这一现实约束下的临时风险降低措施，不能替代升级，且可能被更高级的攻击手法绕过。一、针对 CVE-2026-109618（内存耗尽/OOM 路径）
设置 memory_limit = -1：该漏洞的核心触发条件之一是攻击者可操控PHP的内存耗尽。将内存限制设为无限制，可以移除这一可控的失败条件。需确保该设置通过 php_admin_value 等方式应用，防止应用层重新设置有限值。注意，这并不能防止底层分配失败，只是移除了一条主要攻击路径。
收紧请求体大小限制：设置较低的 post_max_size。如果业务无需文件上传，建议设为 8M；如需上传，设为 32M。同时确保 upload_max_filesize 小于 post_max_size。更有效的做法是在 Nginx/Apache 或 WAF 层面限制请求体大小、multipart部件数量、头数量等，以覆盖没有 Content-Length 的请求。
二、针对 CVE-2026-109619（陈旧全局状态/UAF 路径）
禁用 Session 上传进度功能：这是目前被引用最多的临时措施。在配置中设置 session.upload_progress.enabled = 0ff。该功能默认是开启的，被认为是漏洞的主要触发向量之一。禁用它可以阻断已确认的利用路径，但无法保证覆盖该漏洞的所有变种。
本文标签：