PHP 远程代码执行漏洞通告（CVE-2026-109618 / CVE-2026-109619）

阿里云安全
阿里云安全

阿里云应急响应

2026年10月22日 00:23
浙江

去阅读

2026年10月21日，阿里云安全监测到 PHP 官方披露两个PHP远程代码执行漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619，代号为 php2shell

01

风险描述

PHP 是一种广泛使用的开源服务器端脚本语言，2026年10月21日，官方披露其存在以下两个远程代码执行漏洞：

1. CVE-2026-109618：OOM处理缺陷导致远程代码执行。 PHP 在内存不足（OOM）时可能留下无效请求状态，后续请求清理过程访问该状态，可能导致远程代码执行。官方已在 Apache mod\_php 环境中通过 HTTP 验证未认证远程代码执行

2. CVE-2026-109619：全局状态残留导致远程代码执行。 PHP 的部分全局状态未被正确重置，或在重置后被再次写入，导致同一工作进程处理后续请求时访问已释放的请求内存，触发释放后使用（Use-After-Free），可能导致远程代码执行。官方已在 Apache mod\_php 和 PHP-FPM 环境中验证未认证远程代码执行。

02

风险评级

CVE-2026-109618 / CVE-2026-109619 php2shell 远程代码执行漏洞 严重

03

修复方案

在打补丁或升级PHP版本期间，请保持阿里云 WAF或者阿里云 云防火墙IPS防护模块防护处于启用状态，尽可能的减少暴露风险，但这些措施不能替代 PHP 修复。

针对 PHP 8.1 及更早版本：PHP官方已停止支持，但部分发行版和长期支持（LTS）服务商可能为其提供安全补丁，请联系供应商确认修复情况，或升级到受支持的版本。

针对 PHP 8.2 及其之后版本：PHP官方已发布安全更新版本及其补丁，具体如下：

PHP < 8.2.35（8.2 分支），升级至 8.2.35 或该分支更新版本。

PHP < 8.3.36（8.3 分支），升级至 8.3.36 或该分支更新版本。

PHP < 8.4.27（8.4 分支），升级至 8.4.27 或该分支更新版本。

PHP < 8.5.12（8.5 分支），升级至 8.5.12 或该分支更新版本。

04

缓解方案

1、针对 CVE-2026-109618： 暂无法升级时，可由管理员强制设置 memory\_limit=-1，重启全部 PHP 工作进程并确认配置未被覆盖；同时在前端限制解码后的请求体大小、上传数量及输入复杂度，不使用 multipart 表单的应用可阻断此类请求。取消内存上限需评估资源耗尽风险，且不应使用 RLIMIT\_AS 或 RLIMIT\_DATA 作为替代防护。具体措施可参考 https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

2、针对 CVE-2026-109619： 暂无法升级时，可设置 session.upload\_progress.enabled=0；PHP 8.5 还可设置 fatal\_error\_backtraces=0 进行缓解，均需由管理员强制配置并重启全部工作进程。PHP-FPM 可在评估性能影响后设置 pm.max\_requests=1，减少跨请求状态复用。具体措施可参考 https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp