更新了php版本也挡不住漏洞

DaisikiCloud 2026-10-22 01:32 1

更新到最新版本的8.4.27后，扔给AI分析，仍然能轻松bypass，各位没更新的也不用慌了，更新了也没鸟用。。

缓解方案就是编辑php.ini配置文件，upload_progress Off。

php官方的能力堪比三斤鸡屎，php也永远是屎山，只是目前还是抛不掉 ^-^

最新回复 (17)

lowphp 10-22 01:33

1楼

需要注意的是php8.2以下的版本没有更新补丁已经停止维护，并且听说并没有完整修复，但：官方建议的临时缓解措施直接暴露了漏洞性质：session.upload_progress.enabled = 0（关闭PHP上传进度）

session.use_strict_mode = 1（严格session模式）

multipart/form-data 上传时，PHP_SESSION_UPLOAD_PROGRESS 字段的内容会被 PHP 作为 session 数据解析（反序列化），恶意 payload 触发 PHP 内置类魔术方法 → RCE session.upload_progress.enabled = 0

session.use_strict_mode = 1

php.ini 这两个参数写死
这瓜保熟吗 10-22 01:35

2楼

php时代的产物了，并发太拉
kevin77 10-22 01:36

3楼

@这瓜保熟吗 #2 新版不拉的
这瓜保熟吗 10-22 01:38

4楼

@kevin77 #3 你看vmiss就知道了，100人同时抢小鸡就瘫痪
DaisikiCloud 楼主 10-22 01:38

5楼

@kevin77 #3 新版确实还可以但是还是比较拉。我从5.6时代就开始用php，明显能感觉到7.4比5.6快乐一倍，8.1比7.4又快了一倍，但是奈何人家的代码太屎山了
DaisikiCloud 楼主 10-22 01:39

6楼

@这瓜保熟吗 #4 实际上纯动态站点，几乎没有什么机器可以单机硬抗这么高并发的。要么走cdn缓解，要么坐动态内容静态化前后分离来缓解
这瓜保熟吗 10-22 01:41

7楼

@DaisikiCloud #6 ns晚高峰应该天天100+在线，而且论坛纯动态，php抗不住的
lowphp 10-22 01:42

8楼

这是php官方问题，坚持用php-fpm 实际上php-cli完全是两个软件，不会不知道webman或者swoole吧。
zi 10-22 01:43

9楼

没事，cf已经建立了保护，补丁过几天再修也不迟
qq7119 10-22 01:44

10楼

@DaisikiCloud #5 发布于2026/10/22 01:38:45

@kevin77 #3 新版确实还可以但是还是比较拉。我从5.6时代就开始用php，明显能感觉到7.4比5.6快乐一倍，8.1比7.4又快了一倍，但是奈何人家的代码太屎山了

7.0的php 有修复补丁下载吗？
KEVI 10-22 01:45

11楼

php 真的应该 archive 掉好了..
acm 10-22 01:58

12楼

用的cpanel虚拟主机，商家第一时间打补丁了，不用自己操心
Mr-F14 10-22 02:11

13楼

@acm #12 听说补丁没用，挡不住漏洞
TianTangJun 10-22 02:20

14楼

这么哈人啊 ^-^
Jims 10-22 05:43

15楼

用这个大佬的ppa，兼容到5.x

https://deb.sury.org/
jjaibb 10-22 05:52

16楼

这不是我说的，是AI在说楼主胡扯：
vpswabao 10-22 08:17

17楼

@qq7119 #10

宝塔有7.4.34的修复版本