【紧急】PHP2Shell 与 Node.js 高危漏洞修复通知
尊敬的客户：

您好！近期公开两个高危安全漏洞，涉及 PHP 与 Node.js，均可导致远程代码执行、服务器被接管。请您务必高度重视，立即排查并安排处理。

一、PHP2Shell 严重漏洞（CVSS 9.2）
PHP 近日公开严重安全漏洞 PHP2Shell（CVE-2026-109618 / 109619），危险等级 CVSS 9.2，攻击者可远程执行代码、直接接管服务器。

影响范围：PHP 5.4 及以上所有版本；Magento、Shopware、WooCommerce 等电商系统及各类 CMS 均受影响。

特别提醒：该漏洞存在于 PHP 底层，无法通过代码修改或应用层插件防御，唯一有效方式是升级 PHP 版本。

请按版本立即处理

PHP 8.2 – 8.5 用户：
可通过 apt/yum 或重新编译方式升级 PHP，升级后请重启 Nginx/Apache/PHP-FPM 使补丁生效。

PHP 8.1 及以下用户：
官方不再提供补丁，服务器将完全暴露于攻击风险之下。建议立即采取以下措施：

收紧安全组及防火墙策略（iptables/firewalld），开启高级别 WAF，禁用高风险命令执行函数；

尽快安排迁移升级至 PHP 8.2+ 版本。

宝塔用户
宝塔已推送以下更新包：8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 / ，请及时排查当前版本并完成更新。

临时加固（暂无法升级的版本）
可在 php.ini 中添加或修改以下配置：

session.upload_progress.enabled = 0
session.use_strict_mode = 1

以上仅为临时缓解措施，不能替代版本升级。

二、Node.js 高危漏洞（CVE-2026-111497）
Node.js 官方于 2026 年 10 月 21 日修复高危漏洞 CVE-2026-111497。该漏洞涉及 Brotli 解码器越界写入，在特定条件下可能导致远程代码执行。

受影响版本：Node.js 22.x、24.x、26.x

建议升级至：22.23.4、24.22.1、26.12.1 或更高安全版本。

目前未见到大规模利用，但仍建议尽快升级。