漏洞等级 CVSS 9.2，**未授权远程代码执行**，只要网站对外可访问、运行 PHP 就有被直接拿下服务器风险，漏洞细节已经泄露，网上已经出现 POC 攻击包。
以下针对宝塔后台Nginx环境给出应急方案：
步骤一：Nginx 配置里直接加拦截（优先做）
宝塔操作路径（纯鼠标）
1. 宝塔 → 网站列表 → 找到你的站点 → 点【设置】
2. 左侧【配置文件】（nginx.conf）
3. 在 server { }内部粘贴下面这段规则：
if ($request_body ~* "PHP_SESSION_UPLOAD_PROGRESS") {
return 403;
}下面是更稳一点的代码
if ($args ~* "PHP_SESSION_UPLOAD_PROGRESS") {
return 403;
}
if ($request_uri ~* "PHP_SESSION_UPLOAD_PROGRESS") {
return 403;
}
if ($request_body ~* "PHP_SESSION_UPLOAD_PROGRESS") {
return 403;
}4. 点击保存
5. 所有网站如上这样加一遍
6. 回到网站列表，点击最上面的Nginx→ 重启
作用：只要 POST 数据包带上漏洞攻击特征词，直接返回 403 拒绝访问，临时挡住本次 PHP 漏洞攻击。
注意：
1. 多个网站 → **每个 PHP 站点都要单独加上**
2. 静态 html 无 php 站点不用加
3. 这只是临时防护，不能替代后续 PHP 版本升级打补丁
步骤二：PHP禁用危险函数
1. 软件商店 → PHP（7.4/8.1 等）→ 设置 → 禁用函数
2.追加：system,exec,shell_exec,passthru （这四个函数逐个追加上）
3.保存，重启 PHP
