PHP2Shell重大漏洞和修复方法，php5.4版本默认配置下可直接获得shell权限

漏洞信息： CVE-2026-109618 与 CVE-2026-109619 统称为 PHP2Shell

在21日今晚10点后，及时安装安全更新！！

此外PHP 官方今晚仅会为仍在生命周期内的 PHP 8.2、8.3、8.4 和 8.5 发布安全补丁。而全网存量极其庞大、因老旧业务代码兼容问题迟迟不敢升级的 PHP 8.1、PHP 7.4、PHP 5.6 等历史版本，官方已明确不会提供更新！！！

旧版本只能等其他厂商发更新包了。

为了你的小鸡的安全，请在漏洞被修复前，尽快关闭站点或采取相关措施。

#临时解决方案

vps/轻量云

修改php.ini（宝塔面板【软件商店】→【PHP管理】→【配置文件】）

; 关停上传进度跟踪

session.upload_progress.enabled = 0



; 开启严格会话模式

session.use_strict_mode = 1



; 隐藏 HTTP 响应头中的 X-Powered-By: PHP/x.x.x，防止被扫描器锁定版本

expose_php = Off



; 封禁高危系统命令执行函数

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec

虚拟主机

没有 php.ini 修改权限的虚拟主机，可在网站根目录下新建或编辑 .user.ini 文件，写入 session.upload_progress.enabled = 0（约 5 分钟内生效）；

Apache 环境则在 .htaccess 中加入 php_flag session.upload_progress.enabled off。