PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）通告

阅读： 19

■ 通告编号	NS-2026-0025-1	■ 发布日期	2026–10–22
■ 漏洞危害	攻击者利用上述漏洞，可造成进程崩溃甚至任意代码执行。
■ TAG	PHP、远程代码执行、CVE-2026-109618、CVE-2026-109619

一、漏洞概述

近日，绿盟科技CERT监测到PHP发布安全公告，修复了PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）；CVE-2026-109618：PHP 使用 longjmp() 处理内存溢出（OOM）错误时可能提前跳出请求初始化，导致请求关闭流程处理尚未完全初始化的无效内存状态；CVE-2026-109619：worker 进程中的全局状态（错误、会话、扩展等）在请求结束后未被正确复位，后续请求在初始化前访问这些指向已释放请求内存的陈旧指针造成释放后重用（UAF）；未经身份验证的攻击者可通过构造特制multipart请求精确制造OOM或利用默认开启的会话上传进度等路径组成跨请求利用链触发内存破坏，从而造成PHP工作进程崩溃，并可在Apache mod_php等部署形态下以Web服务账户权限执行任意代码。CVSS评分9.2，目前漏洞细节与部分PoC已公开，且发现在野利用，请相关用户尽快采取措施开展自查与防护。

PHP是一种广泛使用的开源服务器端脚本语言，主要用于Web应用与动态网站开发，代码可以直接嵌入到HTML中，支持数据库交互、会话管理及文件上传等，是全球众多Web应用程序的基础支撑环境。

绿盟科技已在特定版本环境成功复现：

目前已知实现RCE需满足：同worker、精确的堆布局、libphp.so 偏移、地址泄漏等

参考链接：

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

二、影响范围

受影响版本：

PHP <= 8.5.11
PHP <= 8.4.26
PHP <= 8.3.35
PHP <= 8.2.34

注：影响范围涉及WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等应用组件，优先关注mod_php、PHP-FPM等部署形态。涵盖PHP 5.4 – PHP 8.5，但PHP 5、7、8.0、8.1等分支版本已停止维护，建议升级至新版本。

不受影响版本：

PHP >= 8.5.12
PHP >= 8.4.27
PHP >= 8.3.36
PHP >= 8.2.35

三、漏洞检测

3.1 版本检测

相关用户可通过查看PHP的版本来判断应用是否在受影响范围内：

php -v

若当前版本在受影响范围内，则可能存在安全风险。

四、漏洞防护

4.1 官方升级

目前官方已发布新版本修复上述漏洞，请受影响的用户尽快升级版本进行防护，下载链接：https://github.com/php/php-src/releases

4.2 临时防护措施

在不影响业务的情况下可通过下列措施进行缓解（仅减少部分路径风险，不能替代升级）：

1、对于PHP-FPM可通过管理员强制设置memory_limit=-1移除可预测的单次请求内存限制；对于mod_php可关闭会话上传进度功能与fatal backtrace：全局设置session.upload_progress.enabled=0（PHP 8.5可设置fatal_error_backtraces=0），并重启全部工作进程或Web服务器；

2、性能允许时可设置 pm.max_requests=1，使 worker 每处理一个请求即回收，阻断跨请求状态传递；

3、通过WAF等安全设备，对包含异常multipart/form-data的HTTP请求进行拦截。

4、排查受影响资产：全面清点运行PHP 5.4到PHP 8.5版本的各类主机与容器实例，密切监控Web服务与PHP的运行日志，重点关注PHP工作进程的异常崩溃、警告/弃用、扩展清理阶段诊断、致命错误、异常子进程创建或非预期文件写入等行为。

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。