针对PHP高危漏洞，绿盟科技更新8类安全产品规则，守护用户业务安全
内容提要
PHP官方修复两个高危远程代码执行漏洞（CVSS 9.2），影响PHP 8.1及更早版本，可致进程崩溃或任意代码执行。绿盟科技更新NF、WAF、IPS、NAVG四类防护产品及UTS、RSAS、TVM、WVSS四类检测产品规则。处置分四步：查PHP版本、升级PHP或临时缓解、更新规则包、复扫验证并监控异常。规则仅争取补丁窗口期，不能替代升级。
延伸解读
漏洞利用门槛低，防护窗口期紧迫
文章指出，这两个漏洞的CVSS评分高达9.2，且未经身份验证即可远程利用，部分POC已经公开。这意味着攻击者无需自行研究，可直接使用现成工具发起攻击。对于仍运行PHP 8.1及更早版本的系统，由于官方已停止常规安全维护，没有补丁可用，风险尤为突出。因此，在升级PHP或获得发行版补丁之前，部署防护规则争取时间显得十分紧迫。
防护与检测产品分工明确，不可互相替代
绿盟科技将8类产品分为防护组（NF、WAF、IPS、NAVG）和检测组（UTS、RSAS、TVM、WVSS）。防护组负责在攻击到达PHP之前进行拦截，检测组负责发现资产是否受影响以及是否已被攻击。两组规则更新阶段不同，作用也不同。文章强调，规则更新不等于补丁，只能争取打补丁的窗口期，最终仍需将PHP升级到修复版本。
处置需按四步闭环执行，缺一不可
文章给出了标准化的四步处置清单：查PHP版本、升级PHP或临时缓解、更新规则包、复扫验证并监控异常。其中特别提醒容器内的PHP需单独检查，镜像版本与宿主机不同。临时缓解措施包括关闭会话上传进度和启用严格会话模式，但仅限业务未使用相关功能时。最后需存档扫描结果与处置清单，作为修复依据和审计凭证。
常见误区：升级应用层无法替代PHP升级
文章明确回答了两个常见问题。其一，仅升级WordPress、Drupal等网站程序无法修复漏洞，因为缺陷位于PHP底层运行引擎，应用层更新触及不到。其二，升级规则包会造成瞬时影响，引擎自动重启时可能丢失3~5个网络探测包，表现为极短抖动，属于正常现象，建议在业务低峰期操作并做连通性验证。
Q&A
PHP 这次修复的高危漏洞具体是什么？影响哪些版本？
PHP 官方修复了两个高危远程代码执行漏洞，编号 CVE-2026-109618 与 CVE-2026-109619，CVSS 4.0 评分均为 9.2 分，属于严重级别。影响 PHP 8.1 及更早版本，在特定条件下未经身份验证即可被远程利用，可导致进程崩溃或攻击者以 PHP 服务账户权限执行任意代码。
绿盟科技针对这次 PHP 漏洞更新了哪些安全产品？
绿盟科技更新了 8 类安全产品规则，分为防护类和检测类两组。防护类包括 NF、WAF、IPS、NAVG；检测类包括 UTS、RSAS、TVM、WVSS。
如果暂时无法升级 PHP，应该怎么临时缓解风险？
在补丁排不上期时，可先做临时缓解：关闭会话上传进度（设置 session.upload_progress.enabled = Off，仅限业务未使用上传进度跟踪时），并启用严格会话模式（session.use_strict_mode = 1）。修改后需重启 PHP-FPM 与 Web 服务器。注意临时缓解不能替代升级。
绿盟科技给出的四步标准化处置流程是什么？
四步流程为：第一步查版本，在服务器执行 php -v 并核对设备引擎版本；第二步升 PHP，优先升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，无法升级则做临时缓解；第三步上规则，先核对引擎前置版本再升级规则包；第四步验证并盯守，用 RSAS 复扫或发测试请求验证规则命中，并监控异常信号。
只升级 WordPress、Drupal 等网站程序能修复这个漏洞吗？
不能。缺陷在 PHP 底层运行引擎，更新网站程序、主题或插件动不到那一层。应用层和运行时是两层，不能混为一谈。必须升级 PHP 本身或采取相应防护措施。
升级绿盟安全产品规则包会影响业务吗？
会有瞬时影响，但可控。引擎会自动重启生效，切换瞬间会丢失 3~5 个网络探测包，表现为一次极短的抖动，属于正常现象。建议放在业务低峰期操作，升级后做一次连通性验证。
如何判断自己的业务是否受这次 PHP 漏洞影响？
唯一标准是 PHP 版本号，与网站使用什么程序无关。在服务器上执行 php -v 查看版本，若为 PHP 8.1 及更早分支则受影响。容器里的 PHP 要单独查，镜像里的版本和宿主机是两回事。
