CNCERT：关于PHP存在远程代码执行漏洞的安全公告

安全内参

2026年10月22日 18:23
北京

去阅读

编者荐语：

未经身份验证的远程攻击者可构造恶意HTTP请求触发内存错误，在特定条件下实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。

以下文章来源于CNVD漏洞平台
，作者CNVD

CNVD漏洞平台
.

国家信息安全漏洞共享平台（China National Vulnerability Database）是由国家计算机网络应急技术处理协调中心联合重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库。

安全公告编号:CNTA-2026-0007

2026年10月21日，国家信息安全漏洞共享平台（CNVD）收录了PHP远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619）。未经身份验证的远程攻击者可构造恶意HTTP请求触发内存错误，在特定条件下实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。目前，漏洞技术细节与PoC已广泛传播，CNVD建议受影响用户立即升级至最新版本。

一、漏洞情况分析

PHP是一种广泛使用的开源通用脚本语言，适用于Web开发并可嵌入HTML中。PHP解释器内核为全球多数Web应用运行提供了基础运行时环境，包括WordPress、Drupal、Joomla、Laravel等主流框架和内容管理系统。

2026年10月21日，国家信息安全漏洞共享平台收录了PHP远程代码执行漏洞。PHP解释器内核在内存管理环节存在逻辑处理缺陷，攻击者可构造特定HTTP请求触发程序异常处理流程，导致内部数据状态异常或已释放内存被再次访问，引发内存破坏。未经身份验证的远程攻击者，可构造恶意HTTP请求触发内存错误，并在特定条件下实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。

CNVD对该漏洞的综合评级为\"高危\"。

二、漏洞影响范围

目前，已知受漏洞影响的PHP产品版本包括：

1、8.2.35版本之前的8.2.x版本；

2、8.3.36版本之前的8.3.x版本；

3、8.4.27版本之前的8.4.x版本；

4、8.5.12版本之前的8.5.x版本。

厂商发布的修复版本为PHP8.5.12、8.4.27、8.3.36、8.2.35。

此外，该漏洞还影响Magento、WordPress、Drupal、Joomla、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart等基于PHP环境的主流CMS和框架。

三、漏洞处置建议

目前，PHP安全团队已修复漏洞并发布安全公告，建议PHP用户及时开展自查，关注官方信息，通过官方渠道及时更新升级至最新版本（https://www.php.net/archive/2026.php#2026-10-21-5）。

推荐阅读

• 网安智库平台长期招聘兼职研究员
• 欢迎加入“安全内参热点讨论群”

文章来源：CNVD漏洞平台

点击下方卡片关注我们，

带你一起读懂网络安全 ↓