2026-10-21 PHP 官方爆出的 CVE-2026-109618 / CVE-2026-109619（社区称 PHP2Shell），CVSS 9.2、无需认证即可远程代码执行（RCE）。
先讲清最关键的一点：这个漏洞在 PHP 解释器核心，不在 CRMEB 代码里。 所以对 CRMEB 5.6 来说，不需要改任何 CRMEB 源码，修复方式是升级服务器上的 PHP 运行版本。改代码、改配置都只是临时缓解，只有升级 PHP 才能彻底修复。
| 你现在的分支 | 升级到（宝塔已打包） |
|---|---|
| PHP 8.5.x | 8.5.12 |
| PHP 8.4.x | 8.4.27 |
| PHP 8.3.x | 8.3.36 |
| PHP 8.2.x | 8.2.35 |
| PHP 8.1.x | 8.1.35（宝塔打包修复版） |
| PHP 8.0.x | 8.0.27（宝塔打包修复版） |
| PHP 7.4.x | 7.4.34（宝塔打包修复版） |
升级前先备份网站和配置，选低峰期操作；升级后重启对应 PHP，再用 php -v 确认版本已生效，并测试商城访问、上传、登录等核心功能。
⚠️ 如果服务器装了多个 PHP 版本，每个都要检查，别漏掉还在跑的旧版本。PHP 8.1 及更早已停止官方安全维护，即使打了宝塔补丁，也建议尽快规划迁移到 8.2/8.3。
二、临时缓解（暂时升级不了时先用，不能替代升级）
1. 关闭 session 上传进度跟踪（只能堵 CVE-2026-109619 的一条路径）
宝塔 → 软件商店 → PHP → 设置 → 配置修改 → php.ini，找到：
session.upload_progress.enabled = 0
PHP 8.5 可再加：
fatal_error_backtraces = 0
保存后重启 PHP 生效。注意：这条只对 109619 有效，109618 走底层 multipart 解析器，这条挡不住。
2. 限制 POST 大小（降低 109618 利用风险）php.ini 里按业务调整：
post_max_size = 8M # 无大文件上传的业务 # 或 post_max_size = 32M # 有上传业务的
同时确保 upload_max_filesize < post_max_size。改了要重启 PHP。商城有商品图片 / 素材上传，别压太狠影响业务。
三、一句话结论
表格
| 手段 | 是否彻底修复 |
|---|---|
| 宝塔升级 PHP（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12） | ✅ 彻底修复，唯一方案 |
| 关闭 session.upload_progress | ❌ 只能缓解 109619 一条路径 |
| 限制 post_max_size / WAF 规则 | ❌ 只能提高门槛，非根治 |
你的 CRMEB 5.6 单商户商城，直接上宝塔把 PHP 升到对应修复版本即可，不用动商城代码。 如果你告诉我当前用的具体 PHP 版本，我可以给你对应的精确升级和验证步骤。
