用友U8+ PHP高危漏洞处置指南：U8 16.1及以下启用CRM的客户请尽快自查

结论先行：用友官方于 2026 年 10 月 23 日发布 U8+ 安全公告，PHP 运行环境存在两个高危漏洞（CVE-2026-109618、CVE-2026-109619，业界代号“PHP2Shell”），影响 U8 16.1 及以下版本、且启用了 CRM（TurboCRM）模块的客户。攻击者可利用漏洞在服务器上执行任意代码，进而控制整台服务器，危害等级为高危。泉州地区仍在使用 U8 16.1 / 16.0 / 15.0 / 13.0 的企业，建议尽快完成自查。

一、这次漏洞是怎么回事

　　PHP 是全球广泛使用的网站开发语言。近期公开的两个严重安全漏洞，允许攻击者在服务器上执行任意代码，进而控制整台服务器。由于部分用友 U8 历史版本的产品组件中集成了 PHP 运行环境，不少客户关注自身系统是否受影响。用友已就影响范围与处置建议发布统一说明。

二、哪些客户受影响

　　需要特别提醒：不少客户当初是“全选安装”，TurboCRM 装了但一直没用。这类系统同样存在组件暴露风险，只是风险程度低于正在使用 CRM 的客户，建议一并按“情形 A”处理。

三、三步自查（10 分钟内可完成）

1. 查 U8 版本号：登录 U8 后查看“关于”或安装目录中的版本信息，确认是否在 16.1 及以下。
2. 查是否启用 CRM 模块：方式一，进入“基础设置—基本信息—系统启用”，查看是否勾选“CC系统配置”“MK营销管理”“CS服务管理”；方式二，用账套主管登录 U8，在业务导航中查看是否有 CRM 节点菜单。任一满足即涉及 CRM 模块。
3. 查补丁工具与 ISD 版本：检查“服务端补丁工具”和 ISD 版本，低于 v3.7 的均存在已知安全漏洞，需升级。

四、怎么处置：分两种情况

情形 A：没有使用 TurboCRM（全选安装的客户最常见）

• 在服务器“服务”管理器中，禁用 U8TurboCRM 相关的三个系统服务，避免组件对外暴露；
• 若确认永久不再使用，以管理员身份运行 U8SOFT\turbocrm70\tsvr\uninstall.cmd，然后删除 turbocrm70 文件夹，彻底卸载。

情形 B：正在使用 TurboCRM（购买并在使用 CRM 模块）

• 先按用友安全公告修复：security.yonyou.com 安全公告（id=796）；
• SPS 服务客户：下载并安装后缀为 TU 的补丁；再修改 U8SOFT\turbocrm70\apache\php.ini，将 session.upload_progress.enabled = On 改为 Off，之后重启 Apache 服务；
• 无 SPS 服务客户：按安全公告修复后，同样修改上述 php.ini 配置并重启 Apache。注意：TU 补丁更新时会校验 SPS 有效期，不在有效期内的无法直接更新，请按“无 SPS”路径处理。

五、建议同步核查的其他安全项

• U8 报表服务（UFReportService）存在已知漏洞，请安装后缀为 RP 的补丁（无需 SPS）；
• 重要安全补丁：LS（数据库密码泄露）、BS（任意文件上传）、FS / SMC（任意文件下载），下载与安装均无需 SPS；
• 未使用的服务与虚拟目录建议禁用或删除，以缩小被攻击面，例如 U8OrderConterTaskService、U8BAWebAPI/U8BAScheduleJob、U8EISService、UIS、U8GCService、U8EAIService、UTUService 等；
• 服务端补丁工具与 ISD 请从服务圈下载并升级到 v3.7 及以上。

六、泉州本地客户可以怎么处理

　　如果你是泉州、晋江、石狮、南安等地的 U8 客户，不确定自己是否受影响，或者没有专人处理补丁与服务器配置，可以联系我们协助：

• 免费远程排查：确认 U8 版本、CRM 模块启用情况与补丁状态；
• 补丁安装与升级：TU / RP / LS / BS / FS / SMC 补丁评估与安装；
• 配置加固：php.ini 参数调整、Apache 重启、无用服务与虚拟目录清理；
• 安全巡检：结合服务器现状给出后续加固建议。

服务热线：13799565061　技术热线：13860788256

七、常见问题

Q1：16.5 版本用了 CRM，需要更新 TU 补丁吗？
不需要。本次漏洞只影响 U8+ 16.1 及以下且同时使用 CRM 模块的用户。

Q2：16.0 版本用了 CRM，但不在 SPS 有效期，还能更新 TU 补丁吗？
不能直接更新，TU 补丁会校验 SPS 有效期。请按“情形 B · 无 SPS 服务客户”的方式处理：先按安全公告修复，再修改 php.ini 并重启 Apache。

Q3：只用 U8 财务、供应链，没买 CRM，还要处理吗？
建议处理。全选安装时 TurboCRM 可能已被装到服务器上，即使未启用也建议禁用相关服务；确认永久不用可直接卸载。