2026-10-24 14:41:09 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【已复现 RCE】php2shell：PHP Core 远程代码执行漏洞（CVE-2026-109618/109619）

长亭安全应急响应中心

2026年10月22日 18:59
浙江

去阅读

PHP 是一款开源的通用脚本语言，主要用于 Web 后端开发与服务端动态页面生成，广泛应用于内容管理系统、电商、论坛、网盘及各类自建 Web 业务系统，WordPress、Drupal、Joomla、MediaWiki 等主流应用均以其作为运行基础。

2026 年 10 月，长亭安全应急响应中心监测到 PHP Core 存在内存破坏导致的远程代码执行风险。攻击者在无需认证的情况下，可通过构造特定 HTTP 请求使 PHP 进程保留指向已释放内存的内部状态，进而读取进程内存或执行任意代码。截至通告发布，官方已发布包含修复的安全版本，公开分析中已包含针对多个主流 Web 应用的未认证远程代码执行演示。建议使用受影响 PHP 版本的用户尽快确认资产暴露面与版本信息，并升级至官方安全版本。

漏洞描述 Description

漏洞成因

PHP Core 在处理请求期间，若内存分配失败或发生其他致命错误，部分内部状态的清理与回滚可能未完成。请求结束后请求内存被释放，但 worker 进程仍保留指向该内存的全局状态；同一 worker 处理后续请求时，这些失效状态可能在正常初始化之前被读取或释放，形成跨请求的 use-after-free 与类型混淆。缺陷位于 PHP Core 本身，不依赖上层应用代码，Apache mod\_php 与 PHP-FPM 复用 worker 进程的机制会放大该问题。公开分析将这条利用链称为 php2shell。

漏洞影响

攻击者可在无需认证的情况下读取 PHP 进程内存，其中可能包含其他请求或服务端的口令、会话令牌、API Key 与证书；在已验证的利用链中，攻击者可进一步在受影响服务器上执行任意代码，导致服务器被完全控制、页面被篡改或业务数据被窃取。缺陷位于 PHP 引擎层，不依赖上层应用自身的代码，默认配置下即存在可利用路径。

处置优先级：高

漏洞类型： 远程代码执行

漏洞危害等级： 高

触发方式： 网络远程

权限认证要求： 无需权限

系统配置要求： 默认配置

用户交互要求： 无需用户交互

利用成熟度： POC/EXP 已公开

修复复杂度： 低，官方已提供修复方案

影响版本 Affects

PHP 5.4.0 - 8.2.34

PHP 8.3.0 - 8.3.35

PHP 8.4.0 - 8.4.26

PHP 8.5.0 - 8.5.11

解决方案 Solution

升级修复方案

官方已在各维护分支发布修复版本，建议升级至以下版本或更高：

PHP 8.5.12：https://www.php.net/releases/8\_5\_12.php
PHP 8.4.27：https://www.php.net/releases/8\_4\_27.php
PHP 8.3.36：https://www.php.net/releases/8\_3\_36.php
PHP 8.2.35：https://www.php.net/releases/8\_2\_35.php

升级后重启 PHP-FPM 与 Web 服务，替换残留旧 worker。

临时缓解方案

以下方案为应急临时措施，可能影响业务功能，升级完成后应及时移除。

PHP-FPM 部署：关闭会话上传进度功能（session.upload_progress.enabled=0），并将 memory_limit 设为 -1。
Apache mod\_php 部署：将 memory_limit 设为 -1。
在边界防护设备或 WAF 上拦截异常 multipart 请求，并收敛不必要的上传入口。

将 memory_limit 设为 -1 会移除 PHP 的内存上限，可能增加内存耗尽与拒绝服务风险；上述配置仅能降低部分触发路径的可利用性，不能替代升级。

漏洞复现 Reproduction

长亭安全应急响应中心已复现RCE。

官方 php:8.4.26-apache 镜像，完成了未认证的跨请求状态利用 → 196 KB 堆泄露 → ASLR 绕过 → 伪造 HashTable → zif\_system 执行命令，以 www-data 身份落地