LFI/RFI 文件包含防御实战：PHP 加固配置
LFI/RFI 文件包含漏洞防御实战：从动态包含点定位、白名单改造、allow_url_include 与 open_basedir 加固到 Nginx 拦截穿越与伪协议，附完整验证命令与绕过排查。
PHP
CVE-2026-94106：getID3 未转义文件名致命令注入，CVSS 8.8
9 月 20 日公开的 CVE-2026-94106 显示，PHP 元数据解析库 getID3 在 1.9.26 之前写入音频标签时未对文件名做 shell 转义，攻击者只需构造含 Shell 元字符的文件名即可命令注入，CVSS 8.8，修复版 1.9.26。
CVE-2026-78006：The Events Calendar 未认证 PHP 对象注入，CVSS 9.8 可 RCE
WordPress 活动日历插件 The Events Calendar 6.17.4 及以下版本被披露未认证 PHP 对象注入漏洞 CVE-2026-78006，CVSS 9.8。攻击者只需在活动页提交一条评论即可触发反序列化并执行代码。
Cloud Commander 目录遍历漏洞 CVE-2026-82460：任意文件读写可致远程代码执行
Cloud Commander 8 月 29 日发布 19.20.2 修复 CVE-2026-82460（CVSS 3.1 9.8/CVSS 4.0 9.3，CWE-22 路径穿越）。REST 文件操作与 Markdown 渲染端点对路径标准化校验缺失，未认证攻击者可借助 ../ 序列在沙箱根目录之外任意读取、写入、移动或复制文件，进而通过覆盖 SSH authorized_keys 或应用配置文件达成远程命令执行。
PHP 安全加固实战：Web 应用运行环境防护配置指南
覆盖 php.ini 高危函数禁用、open_basedir 目录限制、文件上传与会话安全、错误信息隐藏等 PHP 运行环境加固要点，附可直接复制的完整配置与验证命令。