PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）通告

阅读： 26

■ 通告编号	NS-2026-0025	■ 发布日期	2026–10–21
■ 漏洞危害	攻击者利用上述漏洞，可造成进程崩溃甚至任意代码执行。
■ TAG	PHP、Use-After-Free、远程代码执行

一、漏洞概述

近日，绿盟科技CERT监测到网上披露了PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）；由于PHP Core使用longjmp()处理内存溢出 (OOM) 错误导致内存分配失败及各种全局状态处理操作的内存管理缺陷导致对象释放后重用（Use-After-Free），未经身份验证的攻击者可通过构造特制的multipart请求触发内存破坏，从而造成进程崩溃甚至可以PHP服务账户权限执行任意代码。CVSS评分9.2，目前已有漏洞细节披露，请相关用户尽快采取措施开展自查与防护。

PHP是一种广泛使用的开源服务器端脚本语言，主要用于Web应用与动态网站开发，代码可以直接嵌入到HTML中，支持数据库交互、会话管理及文件上传等，是全球众多Web应用程序的基础支撑环境。

参考链接：

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

二、影响范围

受影响版本：

PHP <= 8.5.11
PHP <= 8.4.26
PHP <= 8.3.35
4 <= PHP <= 8.2.34

注：影响范围涉及WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等应用组件，涵盖PHP 5.x – PHP 8.5，但PHP 5、7、8.0、8.1等分支版本已停止维护。

不受影响版本：

PHP >= 8.5.12
PHP >= 8.4.27
PHP >= 8.3.36
PHP >= 8.2.35

三、漏洞检测

3.1 版本检测

相关用户可通过查看PHP的版本来判断应用是否在受影响范围内：

php -v

若当前版本在受影响范围内，则可能存在安全风险。

四、漏洞防护

4.1 官方升级

目前官方已发布新版本修复上述漏洞，请受影响的用户尽快升级版本进行防护，下载链接：https://github.com/php/php-src/releases

4.2 临时防护措施

在不影响业务的情况下可通过下列措施进行缓解：

1、移除可预测的单次请求内存限制，设置：memory_limit=-1，关闭会话上传进度功能：设置fatal_error_backtraces=0与session.upload_progress.enabled=0，并重启PHP-FPM或Web服务器；

2、启用严格会话模式：设置session.use_strict_mode = 1，降低攻击者指定任意会话ID的风险；

3、排查受影响资产：全面清点运行PHP 5到PHP 8.5版本的各类主机与容器实例，密切监控Web服务与PHP的运行日志，重点关注PHP工作进程的异常崩溃、警告/弃用、清理阶段诊断、致命错误、异常子进程创建或非预期文件写入行为。

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。