【安全预警】PHP 两项严重远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619)

中成信息
中成信息

中成信息

2026年10月21日 15:42
福建

去阅读

1

漏洞描述

PHP 远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）是 PHP 核心组件中的两个严重漏洞，CVSS 评分 9.2。攻击者可通过构造特制的 HTTP POST 请求（multipart/form-data 格式），在 PHP 脚本执行前触发内核缺陷，绕过常规应用层防护，以 PHP-FPM/Web 进程权限执行任意系统命令，进而完全控制 Web 服务器，实现数据窃取、植入 Webshell、横向渗透等攻击行为。该漏洞影响范围极广，涉及 PHP 5.4 至 PHP 8.5 的绝大多数版本，且默认配置即可满足触发条件，对公网暴露的 PHP 服务威胁极大。

2

影响范围

PHP 5.4.0 至 PHP 8.5 的绝大多数版本（具体版本范围以官方公告为准）

其他受影响组件

以 PHP 为运行时的应用、框架与建站系统可能间接受影响，涉及 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal 等，以及 mod\_php、PHP-FPM（含 Docker PHP-FPM 镜像）等部署形态。

3

漏洞详情

4

修复建议

关注 PHP 官方公告，及时升级至修复版本。PHP 官方计划于2026年10月21日22:00（北京时间）发布安全更新，并同步公布漏洞详情、影响范围及修复版本。

临时缓解措施

• 若无法立即升级，可在php.ini中设置session.upload\_progress.enabled = off，并重启 PHP-FPM 或 Web 服务器。
• 启用session.use\_strict\_mode = 1，降低攻击者指定任意会话 ID 的风险。
• 在网络层（如 WAF、反向代理）限制对 multipart/form-data 请求的访问，尤其针对不需要文件上传的业务端点。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片

关注我们

扫描官网二维码

了解更多