【处置手册】PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）

NS-CERT
NS-CERT

绿盟科技CERT

2026年10月23日 19:19
四川

去阅读

通告编号 NS-2026-0025-2

2026-10-23

1

漏洞概述

近日，绿盟科技CERT监测到PHP发布安全公告，修复了PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）；CVE-2026-109618：PHP 使用 longjmp() 处理内存溢出（OOM）错误时可能提前跳出请求初始化，导致请求关闭流程处理尚未完全初始化的无效内存状态；CVE-2026-109619：worker 进程中的全局状态（错误、会话、扩展等）在请求结束后未被正确复位，后续请求在初始化前访问这些指向已释放请求内存的陈旧指针造成释放后重用（UAF）；未经身份验证的攻击者可通过构造特制multipart请求精确制造OOM或利用默认开启的会话上传进度等路径组成跨请求利用链触发内存破坏，从而造成PHP工作进程崩溃，并可在Apache mod\_php等部署形态下以Web服务账户权限执行任意代码。CVSS评分9.2，目前漏洞细节与部分PoC已公开，且发现在野利用，请相关用户尽快采取措施开展自查与防护。

PHP是一种广泛使用的开源服务器端脚本语言，主要用于Web应用与动态网站开发，代码可以直接嵌入到HTML中，支持数据库交互、会话管理及文件上传等，是全球众多Web应用程序的基础支撑环境。

绿盟科技已在特定版本环境成功复现：

目前已知实现RCE需满足：同worker、精确的堆布局、libphp.so偏移、地址泄漏等

参考链接：

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

SEE MORE →

2影响范围

受影响版本：

• PHP <= 8.5.11

• PHP <= 8.4.26

• PHP <= 8.3.35

• PHP <= 8.2.34

注：影响范围涉及WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等应用组件，优先关注mod\_php、PHP-FPM等部署形态。涵盖PHP 5.4 - PHP 8.5，但PHP 5、7、8.0、8.1等分支版本已停止维护，建议升级至新版本。

不受影响版本：

• PHP >= 8.5.12

• PHP >= 8.4.27

• PHP >= 8.3.36

• PHP >= 8.2.35

3漏洞检测

3.1 版本检测

相关用户可通过查看PHP的版本来判断应用是否在受影响范围内：

若当前版本在受影响范围内，则可能存在安全风险。

3.2 工具检测

绿盟科技自动化渗透测试工具（EZ）已支持PHP的指纹识别，相关用户可直接使用web模块进行扫描检测：

工具下载链接：https://github.com/m-sec-org/EZ/releases

新用户请注册M-SEC社区（https://msec.nsfocus.com）申请证书进行使用：

3.3 产品检测

绿盟科技远程安全评估系统（RSAS）与WEB应用漏洞扫描系统(WVSS)已具备对此次漏洞的扫描与检测能力，请有部署以上设备的用户升级至最新版本。

关于RSAS的升级配置指导，请参考如下链接：

https://mp.weixin.qq.com/s/SgOaCZeKrNn-4uR8Yj\_C3Q

4漏洞防护

4.1 官方升级

目前官方已发布新版本修复上述漏洞，请受影响的用户尽快升级版本进行防护，下载链接：https://github.com/php/php-src/releases

4.2 产品防护

针对上述漏洞，绿盟科技Web应用防护系统（WAF）、网络入侵防护系统(IPS)、综合威胁探针（UTS）与绿盟下一代防火墙(NF)已发布规则升级包，请相关用户升级规则包至最新版，以形成安全产品防护与监测能力。

产品规则升级的操作步骤详见如下链接：

WAF：https://mp.weixin.qq.com/s/7F8WCzWsuJ5T2E9e01wNog

IPS：https://mp.weixin.qq.com/s/DxQ3aaap8aujqZf-3VbNJg

4.3 临时防护措施

在不影响业务的情况下可通过下列措施进行缓解（仅减少部分路径风险，不能替代升级）：

1、对于PHP-FPM可通过管理员强制设置memory\_limit=-1移除可预测的单次请求内存限制；对于mod\_php可关闭会话上传进度功能与fatal backtrace：全局设置session.upload\_progress.enabled=0（PHP 8.5可设置fatal\_error\_backtraces=0），并重启全部工作进程或Web服务器；

2、性能允许时可设置 pm.max\_requests=1，使 worker 每处理一个请求即回收，阻断跨请求状态传递；

3、通过WAF等安全设备，对包含异常multipart/form-data的HTTP请求进行拦截。

4、排查受影响资产：全面清点运行PHP 5.4到PHP 8.5版本的各类主机与容器实例，密切监控Web服务与PHP的运行日志，重点关注PHP工作进程的异常崩溃、警告/弃用、扩展清理阶段诊断、致命错误、异常子进程创建或非预期文件写入等行为。

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

绿盟科技CERT∣微信公众号

长按识别二维码，关注网络安全威胁信息