关于PHP官方安全漏洞（CVE-2026-109618）的安全通知及处置建议

尊敬的客户：

您好！

一、事件说明

昨日夜间（北京时间2026年10月21日晚10:00），PHP官方在行业漏洞库披露了编号为 CVE-2026-109618 的安全漏洞（详情：https://avd.aliyun.com/detail?spm=5176.12529816.0.0.43a8kpuvkpuvMw&id=CVE-2026-109618&lang=zh）

该漏洞属于 PHP 编程语言官方运行环境自身的漏洞，与报名系统的程序代码、业务逻辑和编码质量无关。全球范围内所有使用相关版本 PHP 的网站和系统，都在该漏洞的影响范围内。

二、我们已采取的措施

• SaaS 版本： 我们已在第一时间完成修补，同时云防火墙和 Web 应用防火墙（WAF）均已具备对该漏洞的防御能力。截至目前，未发现该漏洞对我方 SaaS 服务造成实际影响。
• 私有化部署版本： 您的系统运行在贵单位自己的服务器上，运行环境（PHP 7.4）由贵单位管理。由于 PHP 官方已停止对 7.x 版本的安全维护，暂未提供对应补丁，需要由贵单位的网络/系统管理员登录服务器，通过修改配置关闭相关功能。整个操作只涉及两项配置修改和一次服务重启，我们提供了详细步骤（见下文）。

给非技术人员的提示： 请将本通知转交贵单位负责服务器运维的人员（网络管理员），并建议尽快安排处理。操作不涉及修改系统程序，也不会影响已有报名数据。

三、处置措施（请网络或系统管理员操作）

建议操作前备份下列配置文件，并选择在业务低峰期执行。

第 1 步：修改 php.ini

找到 PHP 的配置文件，将：

session.upload_progress.enabled = Off

常见路径如下，请以实际环境为准：

* Debian / Ubuntu：/etc/php/7.4/fpm/php.ini
* CentOS / RHEL（系统自带）：/etc/php.ini
* CentOS / RHEL（Remi 源）：/etc/opt/remi/php74/php.ini
* 宝塔面板等：/www/server/php/74/etc/php.ini

若文件中已有该配置项且值为 On，请直接改为 Off；同时若该行前面带有“;”字符,请删除。

第 2 步：修改 php-fpm 配置

在 php-fpm 的 [www] 配置段中增加：

php_admin_flag[session.upload_progress.enabled] = off

常见路径：

* Debian / Ubuntu：/etc/php/7.4/fpm/pool.d/www.conf
* CentOS / RHEL：/etc/php-fpm.d/www.conf
* 宝塔面板等：/www/server/php/74/etc/php-fpm.conf

如果您的环境中有多个 pool（不止 [www]），请在每个 pool 中都添加此配置。

第 3 步：检查配置并重启服务

# 检查配置语法（命令名称以实际环境为准）
php-fpm7.4 -t        # Debian / Ubuntu
php-fpm -t           # CentOS / RHEL

# 重启 php-fpm
systemctl restart php7.4-fpm      # Debian / Ubuntu
systemctl restart php-fpm         # CentOS / RHEL

如果您的环境使用 Apache mod_php 方式运行，只需完成第 1 步，然后重启 Apache。

第 4 步：验证是否生效

请通过 Web 方式验证，不要使用命令行 php -i，因为命令行读取的是另一套配置，结果不能代表 php-fpm：

1. 在站点目录下临时创建一个 phpinfo 页面，内容为 <?php phpinfo();。
2. 通过浏览器访问该页面，搜索 session.upload_progress.enabled。
3. 确认其值显示为 Off。
4. 验证完成后请立即删除该页面，避免泄露服务器信息。

四、对业务的影响

关闭该功能后，PHP 将不再通过 session 记录文件上传进度，仅影响基于该机制的”上传进度条”类功能。报名系统的文件上传、报名提交等核心功能不受影响。如修改后发现上传相关功能异常，请及时联系我们。

五、补充建议

如果贵单位服务器前端已部署 WAF（Web 应用防火墙）等安全设备，建议同时检查其防护规则是否已更新，作为额外一层防护。但这不能替代上述配置修改。

六、联系方式

如需协助或在操作过程中遇到问题，请联系：

• 技术支持电话：0552-7293916

• 服务时间：9:00-18:00

给您带来的不便，敬请谅解。 感谢您对我们的信任与支持！