2026年10月21日，互联网公开了PHP 远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），未经身份认证的远程攻击者在满足特定条件时，可利用 PHP 核心内存状态处理缺陷，在目标服务器上执行任意代码，可能造成网站被篡改、敏感信息泄露或服务器失陷。风险等级：高风险。

1.漏洞描述

CVE-2026-109618漏洞，是由OOM处理缺陷导致远程代码执行。PHP 在内存不足（OOM）时可能留下无效请求状态，后续请求清理过程访问该状态，可能导致远程代码执行。

CVE-2026-109619漏洞，全局状态残留导致远程代码执行。PHP 的部分全局状态未被正确重置，或在重置后被再次写入，导致同一工作进程处理后续请求时访问已释放的请求内存，触发释放后使用（Use-After-Free），可能导致远程代码执行。

研究人员已验证，在不同的部署和应用条件下，这些缺陷可能造成敏感内存泄露或以Web工作进程权限执行代码。

2.影响范围

PHP 8.2 分支 < 8.2.35

PHP 8.3 分支 < 8.3.36

PHP 8.4 分支 < 8.4.27

PHP 8.5 分支 < 8.5.12

PHP 8.1 及更早版本同样可能受到影响，由于这些分支已停止官方常规安全维护，建议升级至受支持版本。

3.修复建议

1）正式升级方案

升级至对应分支的 PHP 版本或更高的已修复版本

PHP 8.2 分支 >= 8.2.35

PHP 8.3 分支 >= 8.3.36

PHP 8.4 分支 >= 8.4.27

PHP 8.5 分支 >= 8.5.12

2）临时方案

对于PHP-FPM，禁用会话上传进度session.upload_progress.enabled=0并进行设置memory_limit=-1。

对于mod_php，设置memory_limit=-1。

这些更改无法完全取代补丁，并且设置memory_limit=-1会移除 PHP 的内存限制，增加内存耗尽的风险。

为防范漏洞风险，请相关单位及时将PHP升级或替换为官方发布的修复版本。

信息化处

2026年10月22日