这两天开源编程语言PHP曝出两个严重安全漏洞（代号“php2shell”）的新闻刷屏啦，该漏洞可导致未经身份验证的远程攻击者通过发送特制POST请求，触发内存破坏并最终实现远程代码执行，从而获取服务器控制权限。
(插图由ChatGPT辅助生成)
PHP 官方公布的漏洞编号信息如下：
- CVE-2026-109618：涉及内存耗尽处理过程中的问题。
- CVE-2026-109619：涉及工作进程复用时内部状态未正确清理的问题。
说起PHP，那可是全世界最好的编程语言（非程序员可能不懂这个梗），不容反驳哦。
从2002年起，我就是用PHP的坚定拥趸，LAMP几乎伴随了我整个职业生涯，为了我的钱包立下了汗马功劳！
甚至我最早写的HIVE见证人列表工具、代理查询工具都是用PHP完成的！你可能会问，为啥不用其它技术呀？那当然是不会喽。
虽然这些年编程已经主要用Python，网站啥的也都是用前端技术实现了（AI帮我弄的），但是我还是有几台服务器上运行着PHP，要么有一些脚本，要么是WordPress博客站。PHP爆高危漏洞，我当然要关注并尝试解决一下。
不过我想，既然是高危漏洞，那么Ubuntu官方肯定会有及时的补丁吧？
我查了一下资料，据说漏洞影响PHP 8.5.x＜8.5.12、PHP 8.4.x＜8.4.27、PHP 8.3.x＜8.3.36、PHP 8.2.x＜8.2.35以及8.1以前版本。而目前厂商发布的修复版本为PHP8.5.12、8.4.27、8.3.36、8.2.35。
我去看看我服务器上是什么版本，执行如下命令：
php --version
显示如下信息：
额，很明显PHP 8.3.x＜8.3.36，危矣。赶紧升级一下系统：
sudo apt update
sudo apt upgrade
过程中有这个信息：
其中包括如下软件包，哈哈，看来可以放心了
php8.3 php8.3-cli php8.3-common php8.3-curl php8.3-odbc php8.3-opcache php8.3-readline
升级完再看一眼版本信息
额，除了编译信息从(built: Oct 7 2026 18:06:38) 变成了(built: Oct 19 2026 15:16:58)，版本号还是PHP 8.3.6呀？莫非我升级了个寂寞？
于是又一通查询，发现Canonical （10/21）发布的USN-8948-1: PHP vulnerabilities，noble 的修复包就是 php8.3-* 8.3.6-0ubuntu0.24.04.13。
其中包含如下内容：
使用如下指令看一下我服务器上的数据：
dpkg -l | grep -E 'php8.3-(cli|fpm|cgi|common)|libapache2-mod-php8.3'
哈哈，已经是修复过后的版本
把几台服务器都按这个思路和步骤操作一下，然后我就可以放心地睡觉啦，高危漏洞也影响不到我啦。