🚨 漏洞等级：高危 (CVSS 9.8)
🛡️ 漏洞编号
CVE-2026-109618 / 109619
CVE-2026-109618 / 109619
💥 攻击向量
全局状态残留导致远程代码执行 (RCE)
全局状态残留导致远程代码执行 (RCE)
⚡ 建议处置时效
24小时内紧急升级或修改配置规避
24小时内紧急升级或修改配置规避
【执行摘要】 2026 年 10 月 21 日，PHP 官方与宝塔安全团队紧急披露针对 PHP 8.x/7.x 系列的高危内存与全局状态漏洞（CVE-2026-109618、CVE-2026-109619）。受此波及，基于 PHP 架构的企业级电商系统 EC-CUBE 4.1.2-p5 面临高危风险。本文汇总官方安全补丁、临时配置规避手段及全套升级核定方案。
一、受影响版本与安全修复对照表
官方已紧急发布各分支维护修复包，生产环境请对照版本矩阵执行升级：
| PHP 分支 | 宝塔 Linux 修复版本 | 更新方式 | 源码包状态 |
|---|---|---|---|
| PHP 7.4 | 7.4.33-patch2 | 宝塔软件商店直接更新 | ✓ 已发布 |
| PHP 8.1 | 8.1.30 | 软件商店一键升级 | ✓ 已发布 |
| PHP 8.2 | 8.2.24 | 软件商店一键升级 | ✓ 已发布 |
| PHP 8.3 | 8.3.12 | 软件商店一键升级 | ✓ 已发布 |
二、暂时无法升级的临时缓解措施
若生产业务因依赖历史扩展暂时无法重启大版本，请登录宝塔面板，进入「软件商店 → PHP → 设置 → 配置修改」，在 php.ini 中追加或修改以下安全参数：
如果使用 PHP 8.2+，建议额外增加：
⚠️ 临时规避配置生效须知
上述设置必须在请求解析前生效，请确保在 php.ini 或 FPM 池参数中配置，修改后必须在宝塔后台重启对应 PHP 守护进程以重新加载配置。
点击展开：PHP 历史版本 (5.4~5.6) 应急热补丁命令
对于仍在运行的低版本历史系统，可通过终端执行专用热补丁脚本：
curl -fsSL https://download.bt.cn/tools/php_cve_patch.sh | sudo bash
三、EC-CUBE 电商系统专项核定方案
💡 EC-CUBE 升级验证路径
1. 针对 EC-CUBE 4.1.2-p5，优先将后端 PHP 切换至 PHP 8.2.24 安全镜像；
2. 清理 Symfony 编译缓存：bin/console cache:clear --env=prod；
3. 验证购物车会话与支付插件（Stripe/Paypal）握手状态。
权威出处与参考资料：
参考宝塔面板官方安全通告：
https://docs.bt.cn/notices/php-nodejs-security-update-2026-10-21/ (宝塔官方 PHP 安全更新公告)
参考宝塔面板官方安全通告：
https://docs.bt.cn/notices/php-nodejs-security-update-2026-10-21/ (宝塔官方 PHP 安全更新公告)