nopj.cn · 站点维护公告
2026 年 10 月 21 日，PHP 官方发布紧急安全公告，修复两个 CVSS v4.0 评分为 9.2（严重） 的远程代码执行漏洞。 由于本站在补丁发布前运行着受影响的 PHP 版本，为避免站点被攻击者控制，我们已主动下线站点并完成加固。
On 21 October 2026 the PHP project released emergency patches for two critical (CVSS 9.2) unauthenticated RCE vulnerabilities. This forum was running an affected PHP release, so we have taken the site offline rather than leave it exposed.
请求结束时通过 longjmp() 处理内存耗尽错误，导致请求内存未正确初始化，可被利用以程序用户权限执行任意代码。
致命错误处理经由 longjmp() 后，全局状态仍指向已释放的内存区域（堆 use-after-free），可导致内存泄露与远程代码执行。
Both flaws are reachable pre-authentication by any unauthenticated request to a PHP endpoint — no login, no special application code required. Because they live in the PHP core request lifecycle, essentially every PHP site on the internet was a potential target. Cloudflare reported early exploitation attempts; Unit 42 confirmed exploitation in the wild.
| PHP 版本 | 状态 | 说明 |
|---|---|---|
| 5.x / 7.0 / 7.1 / 7.2 / 7.3 | 永不修复 | 已 EOL，官方不再提供补丁，必须升级大版本 |
| 7.4 | 永不修复 | 已 EOL（安全支持已于 2022 年结束） |
| 8.0 / 8.1 | 永不修复 | 已 EOL |
| 8.2 / 8.3 / 8.4 / 8.5 | 已修复 | 需升级到下表中的补丁版本 |
| 分支 | 修复版本 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
session.upload_progress.enabled（PHP 官方与各大发行版推荐的临时缓解项之一），并设置 post_max_size 与 memory_limit 边界。
session.upload_progress.enabled，
并在反向代理层拦截异常的 multipart 请求。PHP 7.4 及更早版本请尽快规划迁移。