PHP 远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619)

云南启安
云南启安

云南启安科技

2026年10月22日 15:11
云南

去阅读

点击↑蓝字关注我们

ENTERPRISE

PART

01

漏洞描述

PHP 是一种广泛使用的开源服务器端脚本语言，专为 Web 开发设计，可嵌入 HTML 中执行，支持多种数据库和协议，具有语法简洁、学习曲线平缓、跨平台兼容性强等特点。它提供了丰富的内置函数和扩展库，涵盖文件处理、图像处理、加密解密、网络通信等功能，能够与 Apache、Nginx 等主流 Web 服务器无缝集成，是构建动态网站、Web 应用和 RESTful API 的主流技术之一，全球超过 70% 的网站采用 PHP 构建。

PHP 存在两个远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619)，且已被发现存在在野利用。两个漏洞均与请求生命周期边界上的状态管理缺陷有关，CVE-2026-109618 利用内存耗尽（OOM）时 longjmp() 提前退出，使尚未完成初始化的请求内存在 request shutdown 阶段被错误消费；CVE-2026-109619 利用 worker 全局状态在请求结束后未正确重置，使后续请求在正常初始化前访问已释放的请求内存。攻击者无需认证，通过构造恶意 HTTP 请求即可触发释放后重用（UAF），进而实现内存泄露和远程代码执行。

利用条件：

无需登录、无需用户交互、无需应用层漏洞；攻击面为可接收 HTTP 请求的 PHP 端点，包括静态站点中的简单 PHP 页面。

PART

02

影响范围

影响版本：

• PHP < 8.2.35
• PHP < 8.3.36
• PHP < 8.4.27
• PHP < 8.5.12

仍在维护的分支：

PHP 8.5、8.4、8.3 仍处于现行维护期，应优先升级到对应修复版本或更高版本。8.2.35 是当前可用的修复版本，也是 8.2 分支最后的升级时间窗口之一；建议尽快规划升级到 8.3 或更高版本。

已停止维护的分支：

PHP 8.1、8.0、7.4 及更早版本已停止官方支持，PHP 官方不再发布修复版本。PHP ≤ 7.3 / 5.x 同样已停止维护，官方不提供修复版本，应优先升级。

其他受影响组件：

以 PHP 为运行时的应用、框架与建站系统可能间接受影响，涉及 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal 等，以及 mod\_php、PHP-FPM（含 Docker PHP-FPM 镜像）等部署形态。

PART

03

修复建议

安全更新：

目前官方已发布安全补丁，建议用户尽快更新至不受影响版本：

PHP 8.5.12

PHP 8.4.27

PHP 8.3.36

PHP 8.2.35

下载链接：https://www.php.net/downloads.php

临时缓解措施：

1.关闭会话上传进度功能：若业务实际未使用文件上传进度跟踪功能，可在 php.ini 、 .user.ini 或 .htaccess 中禁用（设置 session.upload\_progress.enabled = Off），并重启 PHP-FPM 或 Web 服务器；

2.启用严格会话模式：设置 session.use\_strict\_mode = 1，降低攻击者指定任意会话 ID 的风险；

3.排查受影响资产：全面清点运行 PHP 5 到 PHP 8.5 版本的各类主机与容器实例，密切监控 Web 服务与 PHP 的运行日志，重点关注 PHP 工作进程的异常崩溃、频繁退出、异常子进程创建或非预期文件写入行为。

PART

04

参考链接

• https://www.php.net/archive/2026.php2026-10-21-5/
• https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp