深度分析 | AI发现潜伏十余年PHP高危漏洞，华为星河AI网络安全已实现防护覆盖

华为安全

2026年10月22日 21:21
广东

去阅读

2026年10月21日，PHP官方发布紧急安全更新，修复两项潜伏十余年的底层内存安全漏洞。漏洞编号为CVE-2026-109618与CVE-2026-109619，在CVSS v4.0通用漏洞评分体系中均获评9.2分（严重）。漏洞触发于应用层业务代码执行之前，攻击者仅需构造特制网络请求，即可实现无授权远程代码执行。传统基于Web规则匹配的安全设备难以精准识别该类底层攻击，防御难度极高。全球超70%的网站直接或间接依赖PHP环境运行，本次事件对互联网基础设施边界防御构成直接冲击。

事件回溯：漏洞披露时间线

本次漏洞的披露节奏较原计划有所提前，技术细节在官方补丁发布前已逐步扩散，关键时间节点如下：

10月20日夜：网络技术论坛及社交媒体上出现关于PHP即将发布紧急补丁的协同披露讨论。随后，PHP安全团队发布预告通告，确认两个CVSS评分为9.2的漏洞将于次日提前上线，并呼吁系统管理员关注后续更新。

10月21日早晨：在官方补丁尚未正式分发的空窗期，自动化扫描和探测请求的频率攀升。为避免核心业务系统遭到穿透，荷兰、芬兰的部分政务服务网以及日本部分综合技术平台采取了主动断网或暂停Web服务的策略，实施预防性下线。

10月21日13:30（UTC）：PHP官方基金会与核心开发组发布了包含修复代码的稳定分支版本，包括PHP8.5.12、8.4.27、8.3.36以及8.2.35等，修正了异常处理中的跳回逻辑。

10月21日14:00及以后：全球各大网络安全厂商全面介入，威胁情报网络录得第一批公开的概念验证代码（PoC），企业侧的应急响应与防御布控工作全面铺开。

漏洞技术深度解析

两项漏洞都属于PHP核心的内存安全问题，触发不需要账号权限，隐蔽性较强，危害程度较高。

CVE-2026-109618：内存耗尽（OOM）错误处理中的内存破坏缺陷

该漏洞存在于PHP请求启动阶段的内存管理与错误处理环节。当攻击者构造特制的multipart/form-data请求（如包含大量请求头、嵌套字段名或空文件控件），在不超过post\_max\_size限制的情况下耗尽memory\_limit时，PHP通过longjmp()强制退出当前上下文。此时请求内存可能处于未完全初始化状态，但后续清理流程仍将其视为有效数据进行处理，造成内存破坏。攻击者可借此控制内存布局，最终以当前PHP进程权限执行任意代码。Apache mod\_php因无条件执行请求关闭流程而风险最高，攻击可在应用代码执行前触发。

CVE-2026-109619：工作进程跨请求的全局状态残留缺陷

该漏洞存在于PHP工作进程的请求生命周期管理中。PHP会保留指向请求内存的多种全局状态（如error、session、object、extension state等），当某个请求因致命错误（如内存耗尽、执行超时）异常中断时，这些状态可能未被彻底重置或重置后被重新填充，导致其仍指向已被释放的请求内存。同一工作进程处理后续请求时，部分早期逻辑（如INI诊断、session.upload\_progress处理）会在正常初始化完成之前访问这些陈旧引用，触发释放后使用（UAF）。攻击者通过构造两个先后到达同一worker的特定请求即可利用，官方已确认session.upload\_progress为其中一条可利用路径，可实现内存信息泄露甚至远程代码执行。

漏洞复现验证

目前，华为未然实验室已成功复现PHP远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619)。

华为星河AI网络安全解决方案

已支持漏洞防护

华为星河AI网络安全体系已针对本次PHP漏洞完成攻击特征提取与规则优化，依托自研自适应安全引擎，通过IPS入侵防护规则实现攻击流量的精准识别与拦截，为用户提供前置边界防御能力。

本次防护能力覆盖HiSecEngine USG系列AI防火墙、HiSecEngine IPS系列等华为主流安全设备。设备开启IPS功能并升级至最新特征库后，即可对该漏洞攻击流量进行检测与阻断。

用户可登录华为智能安全中心下载最新入侵防御特征库与组件包，通过动态加载方式完成防护能力升级，无需升级系统软件版本，快速补齐防护短板。华为智能安全中心持续追踪全球威胁态势，同步更新威胁情报与防护规则，助力用户快速响应新型安全漏洞与攻击事件。

本次PHP漏洞事件，反映出开源基础软件领域存在的普遍安全问题。基础软件作为数字系统的底层支撑，其安全问题传导范围广，隐患隐蔽性强，处置难度也相对更大。对于政企单位而言，单次漏洞的应急处置是必要的，但更重要的是建立常态化的漏洞管理机制，将基础软件供应链安全纳入日常安全运营体系，覆盖资产梳理、风险监测、快速响应、持续优化等环节，结合专业安全机构的情报感知与全栈联动防御产品，逐步提升应对底层软件安全风险的能力，全面守护数字化基础设施的生存韧性。

点击“阅读原文”，了解更多华为网络安全解决方案！