PHP2Shell：适用于 grommunio 的修补版 PHP 软件包现已发布
已发布更新版的 PHP 软件包，用于修复关键的 PHP2Shell 漏洞，目前可在 grommunio 社区和受支持的软件仓库 中获取。我们强烈建议您立即加强系统安全防护。
什么是 PHP2Shell？
PHP2Shell 是 PHP 运行时本身中两个高危漏洞的统称，即 CVE-2026-109618(opens in a new tab) 和 CVE-2026-109619，两者的 CVSS 评分均为 9.2。这些漏洞可能允许未经身份验证的攻击者仅通过单次请求，在任何应用程序代码运行之前就远程执行代码。这意味着，即使服务器上的 PHP 应用程序完全安全，该服务器仍可能面临安全风险。
- CVE-2026-109618： 因内存不足而中断的内存分配可能会导致请求数据部分初始化，随后请求清理过程可能会将该无效数据视为有效数据。
- CVE-2026-109619： 请求拥有的内部状态可能比其所指向的内存存在时间更长，因此同一工作线程上的后续请求可能会在该状态被重置前使用它。
所有处理 Web 请求的 PHP 安装均受影响，包括 grommunio 所使用的 PHP-FPM。这些漏洞的详细信息在协调披露日期之前已泄露，安全研究人员已报告在实际环境中存在利用尝试。 上游 PHP 项目已发布修复版本（8.5.12、8.4.27、8.3.36 和 8.2.35），并表示更新是唯一安全的选择，因为现有的临时解决方案仅能封堵部分攻击路径。
延伸阅读：Help Net Security、The Hacker News、SecurityWeek 以及 watchTowr 常见问题解答。
如何更新
更新只需执行几条命令：
zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm除了使用 zypper ref 和 zypper up 之外，您还可以使用 grommunio Admin 中的 Web 更新程序，或在命令行上运行 grommunio-update。 无论采用哪种方式，之后都请重启 php-fpm：这可确保每个工作进程都运行已打补丁的 PHP 二进制文件。
我们的自动化测试和大量手动验证检查均未发现任何副作用。话虽如此，在当前这个早期阶段，任何人都无法保证绝对不存在副作用。 我们所有的测试均通过，且在所有实验室环境中，缓解措施均被证明是有效的。
额外福利：借助 OPcache 实现更快的 Web 界面
一段时间以来，您还可以通过 grommunio 安装 php8-opcache。 OPcache 将预编译的 PHP 代码保存在内存中，这使得 grommunio Web 的运行速度明显提升。这就是为什么上文中包含了命令 zypper in php8-opcache。如果您已经安装了该软件包，zypper 会直接跳过此步骤。
官方 SUSE 更新之前的带外软件包
这些软件包是我们自行构建并提供的非官方更新，与 SUSE 提供的官方软件包相互独立。得益于我们的构建基础设施和测试流程，我们得以在SUSE 官方维护更新发布之前就将其推送出来。 我们为此感到自豪，并感谢团队的高效响应。
一旦 SUSE 发布其修复后的 PHP 软件包，我们将从 grommunio 软件仓库中移除我们的临时软件包，以便 SUSE 提供的软件包再次成为优先选择。 由于届时您系统上的软件包将来自不同的供应商（且版本号可能较低），zypper 不会自动切换回来。届时，您需要明确允许更改供应商，例如：
zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm届时我们将发布公告，说明何时需要执行此步骤，并附上具体操作指南。
未在 SUSE 上运行 grommunio？
在 Debian、Ubuntu 及其他发行版上，PHP 由您的发行版提供。请安装发行版提供的 PHP 安全更新，并随后重启 php-fpm。
有疑问吗？
更多内容即将发布。相关讨论和最新动态请参见我们的 社区。已订阅的客户可直接联系 grommunio 支持团队。
