【已复现】漏洞预警｜php2shell：PHP Core 远程代码执行漏洞（CVE-2026-109618/109619）

Josh
Josh

银河哈希

2026年10月21日 21:57
辽宁

去阅读

漏洞概述

PHP 是一款开源的服务器端脚本语言，主要用于 Web 后端开发，可嵌入 HTML 中编写，语法简单上手快，跨平台且适配绝大多数 Web 服务器与数据库，常用来搭建网站、接口、管理系统，是早期 Web 开发主流语言之一，如今依然广泛应用于各类 CMS、小程序后端等项目。

近日，银河哈希通过安全监测发现PHP Core 远程代码执行漏洞（CVE-2026-109618/109619）。从技术角度看，CVE-2026-109618/109619（统称“php2shell”）是PHP核心中两个未授权远程代码执行漏洞，CVSS 4.0评分均为9.2，其根源指向PHP内置的session.upload\_progress机制。据泄露分析，该功能在处理文件上传进度时，回调函数php\_session\_rfc1867\_callback()对会话数据的生命周期管理存在缺陷，可能触发释放后使用（use-after-free）：当上传进度更新导致旧的会话数组被销毁或替换时，残留的zval指针仍被引用，攻击者通过构造特制HTTP请求可操控堆内存布局，最终将执行流劫持至zend\_call\_function等内部函数，实现以Web进程权限（如www-data）执行任意系统命令。

影响范围

PHP 5 至 PHP 8.5

漏洞复现

银河哈希已复现该漏洞

php2shell：PHP Core 远程代码执行漏洞（CVE-2026-109618/109619）

解决方案

补丁发布后，立即将 PHP 升级至官方修复版本。

临时解决方案

在 php.ini 中设置 session.upload\_progress.enabled=0，基于泄露分析可能阻断攻击路径。

参考文献

https://www.php.net/archive/2026.php

https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

https://x.com/k\_firsov/status/2112641845926989944

❝

大连银河哈希安全技术科技有限公司成立于2022年，公司初创团队源于国内知名战队ChaMd5安全团队组建，曾获2023年大连市“连盾”演练第二名、2026年大连市“连盾”演练第一名及各地市优秀攻击队，并获得多地网信办、经侦支队及应急保障中心感谢信，也服务多家CTF厂商举办赛事。

❞