【维护通知/故障报告】关于PHP爆出惊天漏洞这件事

jn_xyp · 发表于昨天 10:37

原标题：【紧急维护通知】论坛将于 2026年10月22日 11:00 进行紧急维护

~~先维护维护完再细说喵，维护期间论坛可能无法访问，总之就是php出了大bug论坛危在旦夕~~

12:14 更新：本次维护已经基本完成，接下来将会监测访问记录并进一步处理php升级造成的部分老页面语法错误，论坛主体访问应当不受影响。

14:30 更新：本次维护已经完成，所有检测到的因php版本更新造成的错误已被修复。感谢各位的支持！

各位坛友好，

10月21日晚，论坛系统所使用的编程语言，PHP官方公布了两项可能导致服务器信息泄露或执行恶意代码的语言层面安全漏洞。分别为 CVE-2026-109618 和 CVE-2026-109619。这两处漏洞由于分布范围广，限制条件少，荣获 9.2/10 分的威胁等级评价，再加上其已经存在长达14年之久，可以说是老资历高危漏洞。

作为响应，论坛在10月22日早间调整了部分设置，阻断了第二个漏洞的已知利用路径。随后，在10:00左右，开始准备升级论坛系统的PHP版本(7.4->8.2)。由于升级跨越了大版本，因此花费了比较长的时间处理与新版本不兼容的史山代码。

11:00，带有修复后代码的版本部署正式开始。为了确保数据正确性，在11:00-12:14期间完全关闭了论坛访问。

12:14，经验证论坛访问正常，主要登录和看帖功能正常，决定恢复论坛的访问。同时监测用户访问过程中的报错，以此定位之前修复中没有涵盖到的代码路径。

~14:00，所有后续修复部署完毕。~~AI真是太好用了~~

14:30，经监测，过去30分钟内未出现任何php报错，因此论坛主体部分维护宣布完成。

随后，我们对10月20日（漏洞传闻最早出现）到修复前的系统日志、登陆记录进行了检查，未发现漏洞利用迹象，未发现未授权访问或者信息泄露的情况。因此我们认为本次漏洞并未对网站造成影响。

感谢各位对论坛工作...

欸，没想到吧，还有第二集！

在我们惊喜于PHP爆出如此劲爆漏洞的同时，NodeJS方面又传来喜讯，官方于10月21日也公布了4个高危漏洞，让全世界的后端们如同看到原子弹爆炸，陷入了震惊瘫坐之中。

经检查，其中 CVE-2026-111497 的利用路径存在于用于提供Mod索引服务的 Fossic Mod API 的代码中。

因此，我们在13:00左右对论坛的 Fossic Mod API 服务，Mod索引前端，~~肥鱼核心内容审核服务~~进行了统一版本升级（因为都是用 NodeJS 写的，所以索性一块升级了），杜绝了可能的漏洞利用。

对于修复带来的服务中断，我们深表歉意。感谢各位对于论坛工作的支持！

jn_xyp
2026年10月22日