安全预警 | PHP2Shell 远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)

原创

知其安安全研究院
知其安安全研究院

知其安科技

2026年10月22日 08:38
北京
标题已修改

去阅读

近日，PHP 官方发布CVE-2026-109618、CVE-2026-109619安全公告，两个漏洞均被评定为CVSS v4.0 9.2（严重），社区将这组漏洞命名为PHP2Shell。目前相关PoC和技术细节已公开，知其安离朱已完成相关复现并转化为验证用例。

两个漏洞均与PHP请求生命周期中的内存状态管理缺陷有关：CVE-2026-109618 利用内存耗尽（OOM）处理过程中的 longjmp() 提前退出机制，使请求内部状态未能正确完成初始化或清理，导致后续请求关闭阶段可能错误访问相关内存；CVE-2026-109619 则利用请求结束后未正确重置的全局状态，使后续请求在正常初始化之前访问已释放的请求内存。攻击者可构造特定HTTP请求触发释放后使用（UAF）等内存安全问题，在满足相应利用条件时实现远程代码执行。

影响范围

受影响版本：

• PHP 8.2.x < 8.2.35

• PHP 8.3.x < 8.3.36

• PHP 8.4.x < 8.4.27

• PHP 8.5.x < 8.5.12

相关部署形态：

使用PHP作为运行环境的应用及服务均需排查，包括 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等，以及Apache mod\_php、PHP-FPM和相关Docker镜像。上述应用并非因此均存在独立漏洞，实际风险取决于PHP版本、运行模式及相关配置。

风险说明

漏洞被利用后，攻击者可能以Web服务进程权限执行任意命令，进一步读取应用源码、配置文件及数据库凭据，并利用被控制的服务开展后续攻击。

目前公开PoC已展示相关漏洞的利用方式。建议重点关注异常multipart请求、PHP或Web服务进程异常退出、异常子进程创建，以及Web目录和临时目录中的可疑文件。

处置建议

PHP 官方已发布修复版本，建议尽快升级：

• 8.2.x 升级至 8.2.35 或更高版本；

• 8.3.x 升级至 8.3.36 或更高版本；

• 8.4.x 升级至 8.4.27 或更高版本；

• 8.5.x 升级至 8.5.12 或更高版本。

官方公告：

• CVE-2026-109618：OOM处理过程中的内存破坏

• CVE-2026-109619：跨请求残留状态导致的远程代码执行

临时缓解措施

暂无法立即升级时，可先采取以下措施降低风险：

1.限制互联网对相关服务的直接访问，优先排查公网暴露的PHP 实例。

2.对不需要文件上传的接口限制multipart请求，并结合 WAF 策略拦截异常请求。

3.对启用Session上传进度功能的环境，可评估关闭 session.upload\_progress.enabled ，降低相关利用路径的风险。该措施不能替代官方修复。

4.检查PHP工作进程异常退出、异常子进程及可疑文件写入情况，发现异常后及时开展排查。

上述措施只能降低部分风险，不能替代官方修复。建议尽快升级至修复版本。

知其安验证支持

知其安离朱安全验证平台已完成PHP2Shell相关验证用例转化，可用于验证WAF、IPS、NTA、IDS等安全设备对相关攻击流量的识别、检测和拦截能力。

当前支持用例：

• [边界安全][HTTP仅发包][漏洞利用] PHP session.upload\_progress 文件名注入+ LFI 漏洞利用 (php2shell)

• [边界安全][HTTP仅发包][漏洞利用] PHP var\_destroy UAF 反序列化堆破坏RCE (php2shell)

• [流量安全][流量回放][漏洞利用] PHP var\_destroy UAF 反序列化堆破坏RCE (php2shell)

• [流量安全][流量回放][漏洞利用] PHP session.upload\_progress 文件名注入+ LFI 漏洞利用 (php2shell)