PHP2shell漏洞临时缓解措施：四组配置

PHP2shell漏洞临时缓解措施是指升级窗口内的应急手段，官方给的是「减少暴露面」而不是「修复」。卓创源码网（zhuochuangyun.cn）把每条配置的作用、代价和生效条件逐条说清楚，避免照抄之后以为已经安全。

PHP2shell漏洞临时缓解措施有哪些？四组配置分别管什么

CVE-2026-109618 方向，也就是 PHP2shell漏洞内存耗尽缓解这一侧：

第一组是 memory_limit 设为 -1，用 php_admin_value 写在 FPM 池或 Apache 配置里，确保应用改不回去，同时检查池、目录和应用层配置没有把有限上限又加回来。

第二组是压低 post_max_size，不接收文件上传的用 8M，需要上传的用 32M，同时让 upload_max_filesize 小于 post_max_size。

第三组是在 Web 服务或前置网关层限制请求复杂度：解码后的请求体积、输入字段数、multipart 分片数、头部数量、嵌套深度，并且要覆盖没有可用 Content-Length 的请求。

第四组是用容器或 cgroup 做可用性边界，策略尽量只终止出问题的那个 worker。

CVE-2026-109619 方向：

session.upload_progress.enabled 设为 0，写在 php.ini、FPM 池配置或服务器配置里，然后重启所有 worker。PHP 8.5 上再把 fatal_error_backtraces 设为 0 并重启 worker。另外要移除那些在初始化前就会输出诊断信息的按请求配置，并修掉可被外部触发的致命错误和执行超时。

PHP2shell漏洞缓解配置该怎么设？memory_limit 设为 -1 的代价

这是一个需要权衡的取舍，不是纯粹的利好。

memory_limit 原本是 PHP 内部的第一道保险：一个请求吃内存吃到上限，PHP 会中断它，把资源还给系统，站点还能继续服务。设成 -1 等于拆掉这道保险，单个请求理论上可以吃掉整台机器的内存，一次构造得好的请求就可能让整台服务器不可用。

所以官方把它和容器或 cgroup 绑在一起推荐——外层用容器限制把影响圈在单个 worker 里，内层用 -1 拆掉可控的那条中断路径。Sansec 也专门提醒过这个代价。

还有一个技术细节值得留意：官方明确警告不要用 RLIMIT_AS 或 RLIMIT_DATA 来替代 memory_limit，因为这两种系统级限制同样会制造分配失败，而分配失败正是 109618 那条路径的起点，等于自己把门推开。

如果你的业务没有大文件上传需求，把 post_max_size 压到 8M 再叠加网关层的体积与字段数限制，实际效果比单纯设 -1 更稳。

PHP2shell漏洞会话上传进度怎么关？为什么写在代码里没用

因为这个开关必须在请求解析之前生效。ini_set 是在脚本执行阶段才调用，FPM 的 .user.ini 也要等请求进入解析流程才被读取，两者都晚了一步——攻击请求走到这时候，配置还没起作用。官方原话是不要依赖这两种方式。

session.upload_progress 从 PHP 5.4 起默认开启，是这次已确认的一条攻击路径。官方建议即使你根本不提供上传进度条功能，打完补丁之后也继续保持关闭。

改完之后要逐个确认 worker 都换掉了。一台机器上跑多套 FPM、多套容器、多个版本的站点时，漏掉一个就等于留了一个口子。

这一项也是 PHP漏洞临时防护方法里最容易被写错的一条：配置写进 php.ini 或 FPM 池配置、重启全部 worker，两个动作缺一不可。

这些缓解措施到底挡不住什么？

官方对缓解措施的口径是「减少针对特定攻击路径的暴露面，不让安装变得安全」，这个措辞要当真读。

具体说：关闭 session.upload_progress 只挡已确认的会话攻击路径，不覆盖其他变体；fatal_error_backtraces 设为 0 只挡已确认的致命错误回溯路径；memory_limit 设为 -1 只是移除了应用可控的内存上限失败，底层分配失败仍然可能到达漏洞路径；WAF 规则是边缘层的拦截，攻击者会变换载荷形态绕过规则，Cloudflare 自己也把下发规则定位为临时止血。

用 error_reporting、display_errors 或 @ 把诊断信息藏起来是无效的，官方明确说这样帮不上忙——问题在配置源头，不在输出端。

所以判断标准是清楚的：这些措施是升级窗口期的桥，不是终点。做 PHP远程代码执行漏洞缓解时，CERT-EU 的建议是，如果连不上补丁，就把受影响的对外服务与公网隔离，通过 VPN、来源 IP 白名单或周边认证来控制访问，修好再恢复。

缓解措施落地自检，6 项

1. session.upload_progress.enabled=0 写在 php.ini 或 FPM 池配置，不靠 ini_set 和 .user.ini
2. memory_limit=-1 用 php_admin_value 写死，并确认没有池级、目录级或应用级配置把它改回有限值
3. post_max_size 按是否需要上传设 8M 或 32M，upload_max_filesize 保持更低
4. 网关层限制请求体积、字段数、分片数、头部数与嵌套深度，并覆盖无 Content-Length 的请求
5. PHP 8.5 上补一条 fatal_error_backtraces=0
6. 改完重启全部 worker，并逐个容器、逐个 PHP 实例确认配置与版本都生效了

升级窗口期还有哪些动作值得做？

缓解配置之外，有三件事投入不大但收益明显。

一是把 WAF 规则和前置网关的防护打开并调到合适档位。Cloudflare 从 10 月 21 日 03:02 UTC 起对包括免费用户在内的所有客户下发了针对已知攻击向量的规则，主流云厂商和 WAF 厂商也陆续跟进。它的定位是临时止血，但总比裸奔强。

二是做一次凭据轮换。这次的内存泄露路径意味着运行进程读到的口令、令牌、密钥、证书都有暴露可能，轮换的成本远低于出事后的追溯。

三是把资产清单补齐。这次的痛点不是「不知道漏洞严重」，而是「不知道自己有哪几台 PHP」。把每个实例的版本、SAPI 类型、位置、是否公网可达记下来，下次公告来的时候你能直接执行而不是重新摸底。

对卓创源码网（zhuochuangyun.cn）这样的源码站来说，交付时把运行环境要求一并给到客户，是减少这类沟通成本的长期做法。

如果你手上的 PHP 源码需要重新部署环境、核对版本要求，或者想按模块挑一套维护状况更好的成品源码，可以先逛卓创源码网按品类对比，再对照[卓创源码网搭建服务价格表]（https://zhuochuangyun.cn/zcymwdjfwjgb/）确认部署与二次开发的工作量。拿不准该选哪套，加微信 ynzckj6666 或 QQ 3894381266，说明你的站点技术栈和当前 PHP 版本就行。