```
尚无补丁：PHP 新 RCE 漏洞的自查路径与缓解要点
据 BleepingComputer 报道，PHP 安全团队已针对一个新披露的远程代码执行（RCE）漏洞发布官方缓解措施；该漏洞目前没有可用的修复版本，且仅在非默认配置下可被利用。
第一步：我是否受影响？
判断依据只有两点——版本与配置。请以 php.net 官方安全公告中列出的受影响版本范围比对自身环境，并确认是否启用了公告所指的非默认配置。保持出厂默认设置的安装不在暴露面内；只有显式改动过相关配置的服务器才需要立即处理。由于具体配置项以英文旗标名在公告中给出，比对时应以官方公告页面为唯一依据，而非按漏洞编号检索。
缓解措施如何落地
在补丁发布前，建议直接按 php.net 主公告给出的配置缓解措施操作：定位生效中的 php.ini（CLI 与 FPM/Apache 模组可能各有一份，可分别通过 php --ini 与 phpinfo() 确认路径），按公告指示逐字调整对应配置项，重启 PHP 服务或 Web 服务器使配置生效，并用 phpinfo() 复查结果。由于公告未指明具体键名，切勿凭经验改动"看起来相关"的设置——一切以公告原文为准。
需要强调的是，缓解措施只是"止血"：它几乎不会进入日常配置管理流程，因此应按限时措施对待——在任务系统中登记，一旦官方发布修复版本，立即把补丁升级作为优先变更排期，而不是让 workaround 无限期沉淀在服务器上。
共享主机环境的现实约束
对依赖共享主机的中小企而言，问题往往不在于"知不知道"，而在于 php.ini 由主机商统一管理，站点营运者无权自行修改。此类情况下，可行做法是把 php.net 公告链接直接转交主机供应商，询问其是否已应用缓解措施、以及计划何时升级 PHP 版本，并要求书面确认。在补丁缺位的情况下，仅依赖主机商的默认配置不足以构成完整防护。
WordPress 等站点同样在暴露面内
即使站点自身代码没有问题，风险也来自底层 PHP 运行时：运行 WordPress、Drupal 等 CMS 的站点与自写应用一样受此影响。上述缓解措施必须在服务器层面执行，外挂或主题层面的防护无法替代它。
为何"只有缓解、没有补丁"值得警惕
非默认配置的限定条件容易让人放松警惕，但它同时也说明：利用面虽窄，一旦被命中就是完整的远程代码执行。对开源专案而言，先公布缓解、同步开发补丁是常见的负责任披露路径——代价是系统维护方必须自行完成从发现到加固的完整闭环流程。
当前较为稳妥的姿态是：以 php.net 官方公告为唯一权威来源完成自查，落实限时缓解，持续跟踪修复版本发布。本文信息据 BleepingComputer 报道整理，具体版本范围与配置项请以 PHP 官方公告为准。
```
尚未提供補丁：PHP 新 RCE 漏洞的自我檢查路徑與緩解重點
據 BleepingComputer 報導，PHP 安全團隊已針對一個新披露的遠端代碼執行（RCE）漏洞發布官方緩解措施；該漏洞目前沒有可用的修復版本，而且只在非預設配置下才可被利用。
第一步：我是否受影響？
判斷依據只有兩點——版本與配置。請以 php.net 官方安全公告中列出的受影響版本範圍比對自身環境，並確認是否啟用了公告所指的非預設配置。維持出廠預設設定的安裝並不在暴露範圍之內；只有明確改動過相關配置的伺服器才需要即時處理。由於具體配置項在公告中以英文旗標（flag）名稱給出，比對時應以官方公告頁面為唯一依據，而非按漏洞編號檢索。
緩解措施如何落實
在補丁發布前，建議直接按 php.net 主公告給出的配置緩解措施操作：找出生效中的 php.ini（CLI 與 FPM/Apache 模組可能各有一份，可分別透過 php --ini 與 phpinfo() 確認路徑），按公告指示逐字調整對應配置項，重啟 PHP 服務或 Web 伺服器使配置生效，再用 phpinfo() 複查結果。由於公告未指明具體鍵名，切勿憑經驗改動「看起來相關」的設定——一切以公告原文為準。
必須強調的是，緩解措施只是「止血」：它幾乎不會納入日常配置管理流程，因此應按限時措施處理——在任務系統中登記，一旦官方發布修復版本，立即把補丁升級列為優先變更排期，而不是讓 workaround 無限期滯留在伺服器上。
共享主機環境的現實限制
對於依賴共享主機的中小企而言，問題往往不在於「知不知道」，而在於 php.ini 由主機供應商統一管理，網站營運者無權自行修改。在此情況下，可行做法是把 php.net 公告連結直接轉交主機供應商，詢問對方是否已套用緩解措施、以及計劃何時升級 PHP 版本，並要求書面確認。在補丁仍然缺位的情況下，僅依賴主機商的預設配置不足以構成完整防護。
WordPress 等網站同樣在暴露範圍內
即使網站自身的代碼沒有問題，風險亦來自底層 PHP runtime：執行 WordPress、Drupal 等 CMS 的網站，與自行開發的應用程式一樣受此影響。上述緩解措施必須在伺服器層面執行，外掛（plugin）或主題層面的防護無法取代它。
為何「只有緩解、沒有補丁」值得警惕
非預設配置這項限定條件容易令人放鬆警惕，但它同時也說明：利用面雖窄，一旦被命中就是完整的遠端代碼執行。對開源專案而言，先公布緩解措施、同步開發補丁，是常見的負責任披露（responsible disclosure）路徑——代價是系統維護方必須自行完成由發現到加強防護的整個流程。
目前較為穩妥的姿態是：以 php.net 官方公告為唯一權威來源完成自我檢查，落實限時緩解措施，並持續跟蹤修復版本的發布。本文資料根據 BleepingComputer 報導整理，具體版本範圍與配置項請以 PHP 官方公告為準。