【高危漏洞复现】PHP 远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619)

jufeng
jufeng

飓风网络安全

2026年10月22日 17:54
北京

去阅读

漏洞描述：

近日监测到官方修复PHP 远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619)，两个漏洞均与 PHP 请求生命周期边界上的状态管理缺陷有关：CVE-2026-109618 利用内存耗尽（OOM）时的 longjmp() 提前退出，使尚未完成初始化的请求内存在 request shutdown 阶段被错误消费；CVE-2026-109619 利用 worker 全局状态在请求结束后未正确重置，使后续请求在正常初始化之前访问已释放的请求内存。攻击者无需认证，通过构造恶意 HTTP 请求即可触发释放后重用（UAF），进而实现内存泄露和远程代码执行,目前该漏洞PoC和技术细节已公开。

可导致无需认证的堆 UAF、内存泄露和远程代码执行，攻击者以 Web worker 权限执行任意命令，写入 WebShell、窃取凭据和业务数据、横向移动并植入持久化后门。

利用条件：

无需登录、无需用户交互、无需应用层漏洞；攻击面为可接收 HTTP 请求的 PHP 端点，包括静态站点中的简单 PHP 页面。

影响版本：

PHP < 8.2.35

PHP < 8.3.36

PHP < 8.4.27

PHP < 8.5.12

仍在维护的分支：

PHP 8.5、8.4、8.3 仍处于现行维护期，应优先升级到对应修复版本或更高版本。8.2.35 是当前可用的修复版本，也是 8.2 分支最后的升级时间窗口之一；建议尽快规划升级到 8.3 或更高版本。

已停止维护的分支：

PHP 8.1、8.0、7.4 及更早版本已停止官方支持，PHP 官方不再发布修复版本。

PHP ≤ 7.3 / 5.x 同样已停止维护，官方不提供修复版本，应优先升级。

修复解决方案（含漏洞补丁）：

官方已发布安全补丁，请及时更新至最新版本：

PHP 8.5.12

PHP 8.4.27

PHP 8.3.36

PHP 8.2.35

下载地址：

https://www.php.net/downloads.php

1. 升级后必须重启 Apache、PHP-FPM 及所有常驻 worker，确保旧进程不再处理请求；仅替换二进制而不重启进程不能消除风险。

2. 容器环境应重新构建镜像，避免沿用包含旧 PHP 的 layer；Kubernetes 环境应滚动重启所有 Pod，并确认没有旧 ReplicaSet 继续服务。

3. 发行版仓库（Ubuntu、Debian、RHEL、Alpine 等）和集成环境（宝塔、phpStudy、XAMPP、Docker 官方镜像等）可能存在同步延迟，请以 php -v、php-fpm -v 的实际输出为准，不要仅核对包管理器版本号。

4. PHP 8.1 及更早版本已停止支持，官方不再提供补丁，建议迁移至 PHP 8.2 或更高版本；若使用发行版长期支持分支，请以厂商 backport 公告为准。

5. 共享主机和虚拟主机用户应联系服务商确认 PHP 版本；多租户环境需确认所有租户实例均已升级。

注意：

不要使用 RLIMIT\_AS 或 RLIMIT\_DATA 作为缓解措施。这些限制会导致 mmap() 失败，从而触发 CVE-2026-109618 所依赖的 longjmp() 路径。