安全公告：PHP 核心高危漏洞（PHP2Shell）影响喧喧运行环境，请尽快升级补丁

• 喧喧 10.x 版本：XXD 内置 FrankenPHP，PHP 运行时嵌入 XXD 包。修复时不需要升级服务器系统 PHP，不需要替换 xxd / xxd.exe 可执行文件，只需替换 XXD 使用的一个 PHP 运行时文件：
  • Linux：php/lib/libphp.so
  • Windows：php8ts.dll
• 喧喧 9.x 及以下版本：不使用 FrankenPHP，PHP 运行时由 Zbox（Apache + PHP）或用户自己的 Web 环境提供，修复方式与 10.x 版本不同，详见第五节。
• 目前喧喧 11.1 版本尚在发布准备中，计划近期发布。正式发布后，该版本将内置修复后的 PHP 运行时；升级并使用该版本内置运行时后，无需再单独替换本公告提供的运行时修复文件。

• 使用未修复 PHP 运行时的喧喧服务端部署，包括源码包 / 手动部署和一键安装包；
• 10.x 版本：XXD 内置的 FrankenPHP 运行时未升级到修复版本；
• 9.x 及以下版本（以 9.6 为例：Linux Zbox 内置 PHP 7.2.33、Windows Zbox 内置 PHP 7.4.30、Windows XAMPP 集成包内置 PHP 7.0.19），以及源码包部署在未修复的系统 PHP 上；
• 受影响 PHP 版本：低于 PHP 8.2.35 的 8.2.x、低于 PHP 8.3.36 的 8.3.x、低于 PHP 8.4.27 的 8.4.x、低于 PHP 8.5.12 的 8.5.x；PHP 8.1 及更早分支已停止维护，同样受漏洞影响。

• Linux 源码部署：sudo systemctl stop xxd
• Linux Zbox 部署：sudo /opt/zbox/zbox stop
• Windows Zbox 部署：在 Zbox 面板中停止服务
• Windows 源码部署：停止 xxd.exe 进程或对应的 Windows 服务

• Linux 源码部署：

  进入xxd源码目录

  sudo cp -a php/lib/libphp.so php/lib/libphp.so.bak-20261023

• Linux Zbox 部署：

  sudo cp -a /opt/zbox/run/xxd/php/lib/libphp.so /opt/zbox/run/xxd/php/lib/libphp.so.bak-20261023

• Windows Zbox/源码部署：将 <XXD目录>\php8ts.dll 等共11个文件, 重命名为 *.bak-20261023 。

sudo install -m 755 linux-x64/libphp.so php/lib/libphp.so

sudo install -m 755 linux-x64/libphp.so /opt/zbox/run/xxd/php/lib/libphp.so

sudo install -m 755 linux-arm64/libphp.so php/lib/libphp.so

sudo install -m 755 linux-arm64/libphp.so /opt/zbox/run/xxd/php/lib/libphp.so

• Linux 源码部署：sudo systemctl start xxd
• Linux Zbox 部署：sudo /opt/zbox/zbox start
• Windows Zbox 部署：在 Zbox 面板中启动服务
• Windows 源码部署：启动 xxd.exe 或对应的 Windows 服务

curl -I http://127.0.0.1:9080/ | grep -i x-powered-by

X-Powered-By: PHP/8.4.27

X-Powered-By: PHP/8.3.36

• 10.x 版本：源码包 / 手动部署通常位于 XXD 目录下的 php.ini ，Zbox 通常位于 run/xxd/php.ini ；
• 9.x Linux Zbox：/opt/zbox/etc/php/php.ini ；
• 9.x Windows Zbox：zbox\bin\php\php.ini ；
• 9.x 源码包 / 手动部署：系统 php.ini ，或 PHP-FPM 池 / Apache 虚拟主机配置。

memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0

• 不需要上传文件时，post_max_size 可设为 8M ；需要文件上传时保持 32M ，并确保 upload_max_filesize 小于 post_max_size 。
• 如有反向代理或网关，建议在代理层同时限制请求体大小、表单字段数、multipart 分片数、请求头数量和嵌套深度。
• 使用 PHP-FPM 时，建议通过 php_admin_value[memory_limit] 设置；Apache mod_php 可使用 php_admin_value memory_limit -1 ，避免被应用中的 ini_set() 覆盖。
• 修改后必须重启 XXD / Zbox / Apache / PHP-FPM，使所有工作进程加载新配置。