记一次PHP安全漏洞的马拉松式修复

昨天PHP官方爆了个大洞，代号php2shell，两个CVE编号（CVE-2026-109618和109619），CVSS评分9.2，简单说就是未经认证的远程代码执行。trigger路径跟PHP的session upload progress机制有关，攻击者不需要登录，构造特定的multipart请求就能在你服务器上执行任意代码。
本文记录下修复过程。