================================================================================
 免责声明
 php2shell 应急加固工具包（CVE-2026-109618 / CVE-2026-109619）
================================================================================

【核心声明】

  临时加固操作无法保证堵住漏洞，仅为升级到最新版本争取时间，请尽快升级到最新版。


一、性质与效力

  1. 本工具包中的全部配置、脚本与说明，均为缓解措施（mitigation），不构成对
     CVE-2026-109618、CVE-2026-109619 的修复（fix）。PHP 官方已明确说明：
     只有升级到官方发布的安全版本才是完整解决方案。
  2. 缓解措施只能降低特定攻击路径的暴露面，无法覆盖全部利用变体。即便按本
     工具包完成全部加固，系统仍可能处于可被利用的状态。
  3. 本工具包不构成任何形式的安全保证、担保或承诺，不保证能够阻止、检测或
     消除任何安全事件。


二、信息准确性

  1. 本工具包内容基于 PHP 官方 2026-10-21 安全公告及公开安全社区研究资料整理，
     版本区间与配置建议可能随官方后续更新而变化。
  2. 一切以 php.net 官方公告、所用发行版/LTS 厂商公告，以及使用者在实际环境
     中的验证结果为准。使用前请自行核对。
  3. 因 PHP 运行环境（SAPI、Web 服务器、发行版、容器、控制面板、业务代码）
     差异极大，同样的配置在不同环境下效果可能不同，甚至可能导致业务异常。


三、使用风险与责任

  1. 修改任何生产环境配置前，必须完整备份原配置文件，并在非生产环境验证。
     本包 scripts/apply-php-fpm-hardening.sh 会自动生成带时间戳的备份文件，
     请勿跳过备份步骤。
  2. 因使用、误用、未使用或部分使用本工具包内容而导致的任何直接或间接损失
     （包括但不限于业务中断、数据丢失、系统被入侵、合规风险、经济损失），
     作者与分发方不承担任何责任。
  3. 使用者应自行评估风险，并自行承担全部使用后果。


四、使用范围限制

  1. 本工具包仅供在【自有资产】或【已获得明确书面授权】的系统上进行安全自查
     与加固使用。
  2. 严禁将本工具包中的任何内容用于未经授权的系统扫描、测试、入侵或任何违法
     活动。使用者应确保其行为符合所在司法辖区的法律法规。
  3. 本工具包中的内容属于公开的运维与安全实践信息，不含任何漏洞利用代码、
     攻击载荷或可用于攻击的工具，亦不提供任何攻击性能力。


五、处置义务

  1. 完成临时加固后，使用者仍有义务在最短时间内将 PHP 升级到官方修复版本：
     8.5.12 / 8.4.27 / 8.3.36 / 8.2.35（或所用发行版/LTS 厂商提供的同等补丁包）。
  2. 对于无补丁的分支（7.3 及更早，含全部 5.x），临时加固不能替代迁移，
     应尽快规划迁移到受支持分支（建议 8.3+），并在迁移前做好网络隔离。
  3. 若发现入侵迹象（如 php worker 进程下出现 sh / bash / nc / curl / python
     等子进程、session 目录出现对象注入残留、worker 频繁段错误伴随 5xx 突增），
     应按安全事件处置流程处理，而非仅做配置加固。


================================================================================
 再一次提醒：
 临时加固操作无法保证堵住漏洞，仅为升级到最新版本争取时间，请尽快升级到最新版。
================================================================================

在线说明文档：https://www.phprm.com/php/php2shell.html
