漏洞预警｜php2shell：PHP Core 远程代码执行漏洞（CVE-2026-109618/109619）
by 融云安全-sm
by 融云安全-sm
融云攻防实验室
2026年10月22日 10:48
江西
去阅读
本期重点
无需身份认证，可能执行远程代码
PHP 核心两项严重漏洞，CVSS 4.0 评分均为 9.2。官方补丁已经发布，请优先排查互联网暴露业务。
近日，PHP 官方披露两项严重远程代码执行漏洞，编号为 CVE-2026-109618、CVE-2026-109619，统称“php2shell”。攻击者在特定条件下，无需身份认证即可在受影响服务器上执行代码。
PHP 官方已于2026年10月21日发布安全更新。渝融云攻防实验室提醒各单位：尽快排查 PHP 运行环境，优先完成互联网暴露业务的升级修复。[1]
01漏洞涉及什么风险？
PHP 广泛应用于网站、内容管理系统、业务平台及接口服务。一旦底层运行环境存在可利用漏洞，风险可能进一步传导至承载的业务系统。
本次披露的两项漏洞均涉及 PHP 内部状态与内存处理，但触发机制有所不同。
CVE-2026-109618
内存不足处理缺陷
PHP 在内部请求数据尚未完成初始化时遭遇内存不足，后续清理过程可能错误处理无效数据，导致内存破坏。[2]
CVE-2026-109619
过期全局状态引用
部分内部状态在其关联内存释放后仍然保留，同一工作进程处理后续请求时，可能继续使用这些失效状态。[3]
若漏洞被成功利用，攻击者可能以 Web 服务进程权限执行代码，进而造成业务数据泄露、网站内容篡改、恶意程序植入或服务中断。实际影响取决于服务账号权限、网络访问范围及业务部署方式。
02哪些环境需要排查？
根据官方公告，提供 Web 请求服务的 PHP 安装环境均应开展排查，包括 PHP-FPM、Apache mod\_php、php-cgi、FrankenPHP 和 LiteSpeed 等部署方式。其中，官方特别提示 mod\_php 场景风险较高，已存在可在应用代码运行前触发攻击的验证案例。[1]
建议优先核查以下资产：
- 对互联网开放的网站、业务系统和 API 服务；
- 基于 PHP 的内容管理系统、管理后台及历史业务平台；
- 容器镜像、集成环境和第三方产品中自带的 PHP 组件；
- 已停止维护、缺少明确责任人的存量系统。
排查提示：应确认 Web 服务实际使用的 PHP 版本和配置，避免仅检查命令行版本而遗漏其他运行实例。
漏洞复现：
03如何完成修复？
官方已发布以下修复版本。各单位应根据当前分支升级至对应版本或包含修复的后续版本。
| 当前 PHP 分支 | 官方修复版本 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
版本信息来源：PHP 官方安全公告 [1]
通过操作系统发行版或商业产品安装 PHP 的用户，应同步查看供应商安全公告，确认是否已提供回移补丁。PHP 8.1 及更早版本的用户，应联系供应商确认补丁支持情况，并安排迁移至受支持版本。
实施升级前，建议备份业务数据及配置，并验证关键功能兼容性。升级后，应重启相关服务和工作进程，确认实际加载的运行环境已经更新。
04暂时无法升级怎么办？
对于暂不具备升级条件的系统，可按照官方公告采取临时缓解措施。例如，在请求解析前生效的 php.ini 或服务端配置中关闭会话上传进度功能：
session.upload_progress.enabled=0
修改后，需要重启全部相关 PHP 工作进程。该措施仅阻断已确认的部分会话相关攻击路径。其他配置措施应结合部署方式，参照官方缓解说明评估实施。[1]
临时缓解不能替代升级
仅关闭上传进度功能，不能完整防护两项漏洞。请在采取临时措施的同时，明确升级计划与完成时限。
同时，建议结合业务需要收紧非必要访问入口，持续检查 Web 访问日志、PHP 错误日志及主机安全告警，关注异常请求、工作进程频繁崩溃、可疑子进程和异常外联等现象。发现疑似入侵迹象时，应及时保留日志与现场证据，并启动应急处置。
渝融云攻防实验室提醒
漏洞修复应落实到每一个实际运行实例。建议各单位明确资产负责人、修复时限及验证记录，降低遗漏风险。
资产排查 → 升级修复 → 效果验证
参考来源
[1] PHP 官方安全公告与版本发布信息
（https://www.php.net/archive/2026.php）
[2] PHP 官方漏洞公告：RCE via OOM corruption
（https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w）
[3] PHP 官方漏洞公告：RCE via stale global state
（https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp）
本文依据截至2026年10月22日的公开信息整理，后续变化请以官方最新公告为准。
渝融云攻防实验室
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论