天塌了，公司就我一个技术，所有项目都跑在 php7 上，今晚我该咋办😨

tmtstudio 2026-10-21 15:46 1

Upcoming Critical PHP Security Release
20 Oct 2026

The PHP security team would like to give advance notice of an upcoming security release.

It is scheduled for Wednesday, 21 October 2026 at 14:00 UTC.

It addresses two critical vulnerabilities, both rated CVSS v4.0 9.2.

All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available.

We reserve the right to release earlier should details of either vulnerability become public, or should evidence of active exploitation appear in the wild.

Full details, affected versions, and the fixed versions will be published with the release.

Thank you for helping us keep PHP secure.

最新回复 (56)

nomansky 10-21 15:47

1楼

当然是睡大觉
dinjufen 10-21 15:52

2楼

买个 claude 账号，然后开始重构
imnpc 10-21 15:55

3楼

临时缓解修改下等官方补丁
⚠️关于 PHP 严重安全漏洞紧急预警
PHP 官方预告两项严重安全漏洞，CVSS 评分均达 9.2 分，PHP 官方计划今晚 22:00 （北京时间）发布修复版本。
https://www.php.net/index.php#2026-10-20-1
临时防护建议：
建议大家提前备份、排查 PHP 版本，并可通过修改 PHP 配置文件 php.ini ，添加或调整以下配置进行临时安全加固：
session.upload_progress.enabled=0
session.use_strict_mode=1
修改后需重启对应 PHP 服务，并检查业务是否正常。最终请以 PHP 官方发布的安全公告及修复方案为准。
宝塔将在官方修复版本发布后同步跟进更新。

👇 详细情况及安全防护建议，请查看下方文章：
关于 PHP 严重安全漏洞的预警及更新通知
Nu1lXX 10-21 15:56

4楼

关站
cccn 10-21 15:59

5楼

用 pstack skill 重构一遍。
boks 10-21 16:01

6楼

狗日的 php!!
nc 10-21 16:03

7楼

写个 WAF 规则完事，cloudflare 已经能拦截了，不用 CF 的话自己写规则。
tmtstudio 楼主 10-21 16:04

8楼

很认真的问大家，求大佬指点，项目是跨境电商，用的 opencart 和 wordpress ，版本都很老了，网站流量也比较高，有没有什么可以快速止损的方案
jackOff 10-21 16:05

9楼

一个人技术的公司，那你就偷偷更新啊，反正没人能第一时间发现
jackOff 10-21 16:06

10楼

@jackOff 话说你这种一人技术公司是咋进去的？待遇如何？公司氛围咋样？盈利怎么样？公司稳定不？我感觉我在 v 站至少看到两个一人程序员的公司的相关帖子了，挺好奇的
sleek7671 10-21 16:07

11楼

得加钱啊
46fo 10-21 16:24

12楼

你还有 AI 伙伴
commoccoom 10-21 16:57

13楼

@jackOff 我说下我的
1. 稀里糊涂被 HR 联系，然后招进去的
2. 到手 7K ，单休，法定假，在三四线城市来说还行吧了。
3. 氛围就是放养，BOSS 布置任务，自己去解决。偶尔来问下进度
4. 不知道稳不稳定，待了 6 年了。
jackOff 10-21 16:59

14楼

@commoccoom 其实也还行的，主要是工作环境松弛的话单休其实和双休没差别
ccc008 10-21 17:01

15楼

上 WAF
commoccoom 10-21 17:01

16楼

@jackOff 请假方便的，跟 BOSS 说下，然后钉钉提交，至今没遇到被拒绝的情况。

但是今年来说确实难了，业务少了😂
Y25tIGxpdmlk 10-21 17:01

17楼

啥情况，最近 php 爆大洞了？
kyro00000 10-21 17:03

18楼

我记得我女朋友单位，一个技术，上班见不到人，但只要解决问题就行。。
soleils 10-21 17:05

19楼
Haku 10-21 17:06

20楼

@Y25tIGxpdmlk 0 日漏洞，所有 php 受影响，php 底层漏洞，无法通过代码手段防御，漏洞可以窃取到 shell 权限。
jackOff 10-21 17:10

21楼

@commoccoom 那很爽了说真的
koic 10-21 17:14

22楼

自建 waf 吧，我现在就是自建，正放在一个海外服务器上面获取 waf 攻击，然后把日志发给 ai 分析，再休整规则
zimjin 10-21 17:17

23楼

当然是买一个 Claude 账号，然后全部重构成自己熟悉的技术栈，上线搞定。
Sezxy 10-21 17:42

24楼

睡觉，当不知道这个消息
ZTom 10-21 17:46

25楼

php+1
sn0wdr1am 10-21 18:41

26楼

1. AI 一把梭
2. 提桶跑路
iorilu 10-21 18:44

27楼

还能咋地

先停机, 让 ai 慢慢搞
zuokanyunqishi 10-21 18:56

28楼

@commoccoom 你看这就是老天眷顾你,6 年了还不稳定,可以了...养老养着吧...
yeyeye 10-21 19:24

29楼

你的问题太笼统了。

另外看你的主题列表，你应该是有能力解决问题的

要么花钱给 ai 将你的程序迁移到新版 php ，，本来 php 就有迁移工具，能相对安全的迁移到新版。

要么等漏洞被公布利用方法，然后你让 ai 看看能不能从网址重写功能拦截。

另外就是你们这种情况，不会连防火墙都没有吧？

哦对了，还有个办法，把网站接入到 Cloudflare ，让他们承担防火墙的功能，他们是会拦截恶意请求和恶意 ip 的。

但是做这些之前，赶紧写报告，赶紧备份数据，赶紧提高备份措施的等级，这样即便被攻击，也不至于一下出大事。

最好的办法是，迁移到新版 php 。
commoccoom 10-21 20:07

30楼

@zuokanyunqishi 要是公司不倒闭，我肯定待到养老了。
shuijingwanwqyy 10-21 20:16

31楼

我现在已经在让 Codex 分析服务器上的配置参数了。等官方发布修复版本后，就升级，然后同步迁移生产环境的配置参数至 PHP 新版本上了。
shuijingwanwqyy 10-21 20:17

32楼

希望能够在 23 点前，顺利升级成功吧。
ZeoKarl 10-21 20:28

33楼

看看钱给到位了么,不到位就装看不见,眼不见心不烦
qiaobeier 10-21 20:33

34楼

发给几个老客户了，希望能接点升级的活😂
jiayouzl 10-21 20:48

35楼

codex ，claude：请帮我把项目从 php7.4 迁移 PHP8.1 不就行了么。
yeyeye 10-21 21:01

36楼

补充：7.x 升级到 8.x 其实要修改的不多，难度真的不大，属于可以搞个范围。

不像 5.x 往上升级连数据库组件都要换，一改一大片。
irvinglove 10-21 21:04

37楼

@jiayouzl 大部分受影响的都是 5.x 和不知道漏洞没升级的，特别用框架的更麻烦
jiayouzl 10-21 21:16

38楼

@irvinglove 用框架就麻烦了，如果框架官方有完整的升级文档还算方便，但特别老的框架就麻烦了要不停试错了。
ccvip 10-21 21:23

39楼

2024 年我用 OpenCart ，服务器被黑了，就不敢用了
hefish 10-21 21:35

40楼

根据网上的文章来看，有呼天喊地的，有分析说影响不大的。我目前相信 prefork 的受影响，fpm 的几乎不受影响。
et5494 10-21 22:24

41楼

https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619
MFWT 10-21 22:27

42楼

官方对 7.4 的有 minimal source-backports ，看看能不能更上吧
rb6221 10-21 22:36

43楼

慌啥嘞，官方都没给出完美方案来，公司的项目挂了又不是你的过错，亏多少钱都是老板的
退一步说，大多数项目还不一定真的有实质损失呢，黑客真看得上你们那小破网站吗
tmtstudio 楼主 10-21 22:40

44楼

@koic 我有自建的 waf ，大佬发现攻击特征了分享一下
fionasit007 10-21 23:04

45楼

看他这个意思是禁止上传就没事？
kkshell 10-21 23:09

46楼

https://www.php.net/index.php#2026-10-21-5
ty5yidc 10-22 00:00

47楼

如何让 AI 帮你修复 PHP 漏洞 CVE-2026-109618、CVE-2026-109619？Claude Code Config Helper + mcp-server-ssh 实用指南

https://blog.csdn.net/qq_42945182/article/details/168663404?spm=1011.2415.3001.5331
songer 10-22 00:14

48楼

利用条件还是比较苛刻的，不用太慌，不漏具体版本号、编译选项、配置、库版本等等信息，很难无条件打成功。暂时不用太担心。但是如果有反序列化之类的老问题就要小心了 :)。
tmtstudio 楼主 10-22 00:55

49楼

@yeyeye #36 主要时间短测试覆盖不全面没敢动幸好官方出了 7.4 的补丁分支，先打上了之后铁定得迁移到 8
quu 10-22 05:02

50楼

其实问题不大，升级就完了。
TirionHo 10-22 09:14

51楼

@commoccoom #13 其它都还好，就是单休很难受
MarcusCliff 10-22 09:24

52楼

把值钱的先盗走，然后推给系统漏洞
Felldeadbird 10-22 09:29

53楼

我司还是 PHP5.6 一推呢。反正邮件我已经发了，升不升他们决定。
pmer 10-22 10:04

54楼

放宽心，你不是一个人在战斗
goumadantui 10-22 10:54

55楼

当做没看到就行了
cocong 10-22 11:53

56楼

你老板肯定不知道，你修复就是在给自己加活，何必自找不痛快，人家攻击也是找值钱的下手，就像大马路一堆电动车，别人为什么要偷你的。