标签： 远程代码执行

2026 年 10 月 21 日，PHP 官方发布紧急安全更新，修复两个可能导致未经身份验证即可远程执行代码的严重漏洞。我将阿里云 OneinStack 生产环境从 PHP 8.5.9 升级至 PHP 8.5.12，历经源码编译、LDAP、Imagick、Redis 扩展重建、151 项配置迁移及 PHP-FPM 验证。首次生产切换失败，自动回滚也报告异常，最终通过真实 FastCGI 请求验证解决问题，第二次升级成功。本文完整记录这次耗时 2.5 小时的安全升级实践与经验总结。