补丁打上了，RCE 还活着：PHP 8.2 / 8.5 这轮复测没过

凌晨两点多，我在测试环境里把 PHP 8.2 和 8.5 各换了一台机器。

补丁按流程打上去，服务重启，终端没关，原来那条请求又发了一遍。

命令回显弹出来的时候，基本不用再猜了——这条利用链还在。

别看到“已修复”三个字就收工。

我一开始也以为补丁上去就消停了。

测试环境里换版本、重启、按原来的路子从头走，结果还是老样子：命令照样能执行。

这里别理解成“可能还有残余”——手里这条链眼下仍然通。

PHP 8.2 / 8.5 这轮补丁，至少在我这边的复测里，没封住 RCE。

先收一收暴露面

线上如果还跑着受影响版本，先把能挡的挡一挡：

• 调试入口能下线就下线，别留在公网；
• 访问控制能挡的先挡一层；
• 日志和进程行为盯紧点，尤其是 Web 用户突然拉起 shell、短时间里出现异常子进程、命令执行回显这类动静。

版本号看一眼不够，实际加载的配置和模块也得对一遍。

补丁状态和实际可利用性之间，隔着一轮真刀真枪的复测。

后面有新进展我再补。