PHP 两个 9.2 分漏洞今晚 22 点出补丁：先备份、查版本，再把这两行 php.ini 改了

晚上九点半，运维群里有人甩来一条链接，后面跟了一句：

“PHP 今晚 22 点发修复版，手里有项目的赶紧盘一遍。”

原本还在聊晚饭的几个人，立马开始翻服务器清单。

CVSS 评分 9.2，两个严重漏洞，这不是看一眼就划过去的消息。

官方预告：两个严重漏洞，评分均为 9.2

PHP 官方预告两项严重安全漏洞，CVSS 评分均达 9.2 分，PHP 官方计划今晚 22:00（北京时间）发布修复版本。

官方预告页在这里，先收藏：

https://www.php.net/index.php#2026-10-20-1

今晚 22:00 这个时间点，建议你写进备忘：补丁发布前先备份、查 PHP 版本，别等业务出问题再回头找日志。

临时防护：备份、查版本，再改两行配置

临时防护建议不复杂：

1. 提前备份；
2. 排查 PHP 版本；
3. 通过修改 PHP 配置文件 php.ini，添加或调整下面两项配置，做一轮临时安全加固。

session.upload_progress.enabled=0
session.use_strict_mode=1

改完 php.ini，重启对应的 PHP 服务。

别只刷新首页看能打开就完事——后台上传、用户登录、表单提交、支付回调这些地方都点一遍。哪块报错，先把配置回滚，再查业务依赖。

两个配置有副作用，线上操作要选低峰

这里有个细节得提前说：

• session.upload_progress.enabled=0 可能影响上传进度条相关功能；
• session.use_strict_mode=1 也可能让部分老会话失效。

线上操作尽量选低峰，拿一台测试机先改先验，别在流量高峰拍脑袋。

临时配置是挡一挡，不是补丁替身

临时配置是挡一挡，不是补丁替身；官方修复版本出来后，该升级还得升级。

宝塔会在官方修复版本发布后同步跟进更新。

• 用面板的，盯住更新提示；
• 不用面板的，盯官方公告和版本号。

补丁和公告没落地前，请以 PHP 官方发布的安全公告及修复方案为准。

详细情况及安全防护建议，看这篇：

https://mp.weixin.qq.com/s/BmjozLhELsjfXQh6BxMAfQ