PHP2shell 远程代码执行漏洞(CVE-2026-109618/109619)

原创

青藤实验室
青藤实验室

青藤实验室

2026年10月22日 18:44
北京

去阅读

>>>> 漏洞名称：

PHP2shell 远程代码执行漏洞(CVE-2026-109618/109619)

>>>> 组件名称：

php

>>>> 漏洞类型：

远程代码执行

>>>> 利用条件：

1.用户认证：无需认证

2.前置条件：无

3.触发方式：远程

>>>> 综合评定利用难度：

简单

>>>> 综合评定威胁等级：

高

>>>> POC状态：

已公开

漏洞描述

1

组件介绍

PHP 是一种面向 Web 场景的开源解释型编程语言，长期承担动态网站和在线业务系统的运行支撑。它既可作为 Apache 模块嵌入宿主进程，也能通过 PHP-FPM 或 CGI 以独立进程池方式提供服务，因而广泛存在于内容管理、在线零售、论坛社区、运维控制面板等系统之中。

2

漏洞描述/分析

PHP2Shell 是 PHP 运行时中的两类关键内存安全漏洞，分别对应 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 评分均为 9.2。漏洞存在于 PHP 请求处理、错误处理及内存清理流程中：CVE-2026-109618 与内存耗尽处理过程中的未初始化内部状态有关；CVE-2026-109619 则源于请求级内存释放后，内部全局状态仍保留指向已释放内存的悬空指针，后续请求可能继续使用该失效状态，从而产生 Use-After-Free 和内存破坏。攻击者无需身份认证，只需向 PHP Web 服务发送特制 HTTP 请求，即可在特定运行条件下触发漏洞并实现远程代码执行。建议及时升级 PHP，并重启所有使用旧 PHP 运行时的 Web 服务进程。

影响范围

• 5.4.0 <= php-src (PHP) <8.2.35
• 8.3.0 <= php-src (PHP) <8.3.36
• 8.4.0 <= php-src (PHP) <8.4.27
• 8.5.0 <= php-src (PHP) <8.5.12

修复建议

1

官方修复建议

官方已发布安全更新程序及修复版本，https://www.php.net/archive/2026.php#2026-10-21-5

2

临时缓解建议

升级前可采取以下措施降低利用概率，均不能替代版本更新。

• 在所有生效层级将 memory\_limit 设为 -1，重启 worker 并确认无覆盖；底层分配失败时仍可能触发缺陷。
• 业务不依赖上传进度时，禁用 session.upload\_progress 并重载 PHP 服务。
• 收紧 post\_max\_size、max\_input\_nesting\_level 及变量、分段、header、上传数量上限；网关按解码后体积限流，无上传端点直接拒绝 multipart。
• PHP 8.5 关闭 fatal\_error\_backtraces；性能允许时设 pm.max\_requests = 1。
• 容器环境用 cgroup memory.max 限制内存，禁用 RLIMIT\_AS / RLIMIT\_DATA。
• 8.1 及更早版本下线或限制访问，并向发行版厂商获取回移补丁。
• 监控 OOM、worker 异常退出及 PHP 派生的可疑子进程，保留完整日志。
• 尽快升级至 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 并重启全部 worker，提前准备回滚方案。

3

青藤产品解决方案

• 万相主机自适应安全平台 「风险发现-漏洞检测」
• 蜂巢云原生安全平台 「应用风险-应用漏洞」
• 青藤深睿云工作负载安全平台V5 「风险发现-风险分析-主机风险/容器风险-漏洞」
• 青藤深睿终端安全管理系统V5 「风险发现-风险分析-主机风险/容器风险-漏洞」

参考链接

• https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
• https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• https://www.php.net/archive/2026.php#2026-10-21-5

漏洞时间线

官方发布信息日期

2026年10月21日，PHP官方正式公开了PhP2shell 远程代码执行漏洞，官方编号CVE-2026-109618和CVE-2026-109619。

青藤复现漏洞

青藤漏洞检测

-完-