世界本就是巨大的草台班子，宝塔更新php版本无效呀……

PHP #CVE

官方建议的临时缓解措施直接暴露了漏洞性质：session.upload_progress.enabled = 0（关闭PHP上传进度）

session.use_strict_mode = 1（严格session模式）

multipart/form-data 上传时，PHP_SESSION_UPLOAD_PROGRESS 字段的内容会被 PHP 作为 session 数据解析（反序列化），恶意 payload 触发 PHP 内置类魔术方法 → RCE

还在用宝塔该反思的是你

围观

@永無止境-endless #0 发布于2026/10/22 00:47:51
此 POC 在 8.2.35, 8.3.36, 8.4.27 和 8.5.12 上依旧可用

这个不确定是否属实，下面是发布进展：

https://www.nodeseek.com/post-1000542-1