别等被挂马才看：PHP 这两个漏洞，关掉一个开关能救命
PHP2Shell 所拥有的那两个 PHP 漏洞, 也就是 CVE-2026-109618、CVE-2026-109619 , 现在已经被实际利用了。补丁才发布了几十分钟后, 就出现了扫描行为, 同时也出现了攻击情况。
很多站长还在选择等等看。可是, 要是到了网站被挂马之后, 或者到了被搜索引擎标红之后再处理, 那样的代价会要大得多。在升级完成之前, php.ini 里有一个开关可以先关掉, 能够挡住目前已知的利用链。
要关的是哪个开关
就是那个名为 session.upload_progress.enabled 的配置项, 它的作用是在用户进行文件上传操作的时候显示出进度条信息, 系统默认的状态是开启这个功能的。
根据公开的漏洞分析报告可以发现, PHP2Shell 这种攻击工具所已知的利用方法之一, 会借助于上传进度过程中写入的会话数据, 故意把请求的压力推到让内存耗尽和状态残留的极端边缘情况上去, 以此来触发后端引擎里面的漏洞代码。
所以, 如果把这个配置项的值设置为 0 的话, 那么这条被用来利用的攻击路径就会被直接切断掉。
改法：在 phpinfo 里找到 Loaded Configuration File 指向的 php.ini，加入 session.upload_progress.enabled = 0，然后重启 PHP-FPM 或 Apache。
你应该宝塔面板里面的那个“软件”, 再去找到“PHP”选项, 然后进入设置页面, 最后点击配置修改这一项来做相关的更改；如果你的服务器当中装了比较多的PHP版本的话, 那么就要把每一个版本都单独进行修改操作才行；如果你只去修改其中一个版本的配置内容, 那么这个做法其实是一点用处都不会有的。
为什么说它“能救命”
因为攻击的行为是自动完成的, 所以在这些漏洞被公开之后, 互联网上面存在的扫描器可以在几个小时之内把大多数的暴露面都覆盖到, 而且那些用来手动进行利用的工具也已经泄露出来了去使用了, 关闭相关的开关这一动作是不需要去修改业务的逻辑的, 它也不会影响到页面的正常访问, 整个过程只需要花费几分钟的时间就能全部做完, 这样就可以降低处在这一段空窗期里面的风险, 在面对PHP所存在着的这两个漏洞的时候, 服务器方面的安全工作其实要靠的是跟时间进行抢夺, 先执行关闭开关的操作然后再去执行升级的流程, 这样的做法比起只盯着看升级的进度来说是要更加实际的。
但它救不了全部
这个开关的操作仅仅是绕过了一个被利用的路径, 但是引擎里面的那个缺陷依然还是存在的, 所以我们不能排除会出现一种不需要依靠上传进度就能触发的情况发生。
正确的操作步骤应该是这样, 首先关掉开关来停止损失继续扩大, 然后在二十四小时以内的时间里把系统版本升级到八、五、十二或者八、四、二十七或者是八、三、三十六或者是八、二、三五其中一个版本里面去, 接着重新启动设备并且确认一下网站实际运行的版本到底是什么, 等到确认安全了之后再来想一想要不要把这个开关重新恢复打开。
关开关之外的三件事
- 查历史入侵。从10月17日开始就已经有探测行为, 你昨天关了开关, 不代表上周没有被打, Web目录里面新增的PHP文件, 还有异常的进程, 以及陌生的外连情况, 这些全都必须要查。
- 处理老版本的情况。从五十四到八点一到这个范围里面, 是没有任何官方补丁的。关掉开关这种做法仅仅是在拖延时间。所以要尽快把系统更换到那些受支持的分支上面去。
- 别只盯着PHP来看。像是什么插件方面的问题, 还有弱口令的问题, 以及那种面板存在的漏洞问题, 这些都是另外的一条线。该进行升级的操作依然要正常地进行升级。
已经发现站点异常、疑似被挂马的，可以对照网站被挂马的原因排查逐项处理。
常见问题
关掉 session.upload_progress 会影响网站吗？
这个情况一般来说是不会影响到前台访问的, 就是会失去上传进度条而已。如果有后台的大文件上传是依赖了这一个功能的, 那么可能就会看不到进度。在升级完成之后再打开就可以了。
改了 php.ini 为什么没生效？
有很大概率是操作了错误的版本, 因为在服务器上面经常存在多个php的进程, 但是站点真正正在使用的其实是另一个, 还有可能是没有重启php-fpm这个服务, 大家需要以phpinfo函数里面显示的加载配置文件路径以及服务器API类型为准。
升级后这个开关还要关着吗？
补丁生效了, 并且确认版本号没有弄错以后, 就可以进行恢复了, 但是如果你并不去依赖那个上传进度条的话, 那么一直让它保持着关闭的状态, 也是没有什么坏处的。