这两天开源编程语言PHP曝出两个严重安全漏洞（代号“php2shell”）的新闻刷屏啦，该漏洞可导致未经身份验证的远程攻击者通过发送特制POST请求，触发内存破坏并最终实现远程代码执行，从而获取服务器控制权限。

(插图由ChatGPT辅助生成)

PHP 官方公布的漏洞编号信息如下：

说起PHP，那可是全世界最好的编程语言（非程序员可能不懂这个梗），不容反驳哦。

从2002年起，我就是用PHP的坚定拥趸，LAMP几乎伴随了我整个职业生涯，为了我的钱包立下了汗马功劳！

甚至我最早写的HIVE见证人列表工具、代理查询工具都是用PHP完成的！你可能会问，为啥不用其它技术呀？那当然是不会喽。

虽然这些年编程已经主要用Python，网站啥的也都是用前端技术实现了（AI帮我弄的），但是我还是有几台服务器上运行着PHP，要么有一些脚本，要么是WordPress博客站。PHP爆高危漏洞，我当然要关注并尝试解决一下。

不过我想，既然是高危漏洞，那么Ubuntu官方肯定会有及时的补丁吧？

我查了一下资料，据说漏洞影响PHP 8.5.x＜8.5.12、PHP 8.4.x＜8.4.27、PHP 8.3.x＜8.3.36、PHP 8.2.x＜8.2.35以及8.1以前版本。而目前厂商发布的修复版本为PHP8.5.12、8.4.27、8.3.36、8.2.35。

我去看看我服务器上是什么版本，执行如下命令：

php --version

显示如下信息：

额，很明显PHP 8.3.x＜8.3.36，危矣。赶紧升级一下系统：

sudo apt update
sudo apt upgrade

过程中有这个信息：

其中包括如下软件包，哈哈，看来可以放心了

php8.3 php8.3-cli php8.3-common php8.3-curl php8.3-odbc php8.3-opcache php8.3-readline

升级完再看一眼版本信息

额，除了编译信息从(built: Oct 7 2026 18:06:38) 变成了(built: Oct 19 2026 15:16:58)，版本号还是PHP 8.3.6呀？莫非我升级了个寂寞？

于是又一通查询，发现Canonical （10/21）发布的USN-8948-1: PHP vulnerabilities，noble 的修复包就是 php8.3-* 8.3.6-0ubuntu0.24.04.13。

其中包含如下内容：

使用如下指令看一下我服务器上的数据：

dpkg -l | grep -E 'php8.3-(cli|fpm|cgi|common)|libapache2-mod-php8.3'

哈哈，已经是修复过后的版本

把几台服务器都按这个思路和步骤操作一下，然后我就可以放心地睡觉啦，高危漏洞也影响不到我啦。

⚠修复PHP高危漏洞(php2shell)

相关链接