【漏洞描述】

PHP是一种广泛使用的开源服务器端脚本语言，主要用于Web开发，能够嵌入HTML并处理动态内容、数据库交互及会话管理，支持多种操作系统与Web服务器，是大量内容管理系统、网站与Web框架的运行时基础。PHP被披露其存在远程代码执行漏洞，漏洞编号分别为CVE-2026-109618, CVE-2026-109619，代号“php2shell”，可导致未经身份验证的远程攻击者通过发送特制的multipart POST请求，触发内存破坏并最终实现远程代码执行，可能造成网站被篡改、敏感信息泄露或服务器失陷。从而完全控制服务器。

【漏洞详情】

PHP是一种开源的通用计算机脚本语言，其目标是允许网络开发人员快速编写动态页面，应用范围相当广泛，可在多数的服务器和操作系统上运行。

1.PHP远程代码执行漏洞（CVE-2026-109618）

在PHP中，由于PHP在处理内存耗尽（OOM）错误时使用longjmp()提前退出当前上下文。在某些上下文中，请求内存在完全初始化之前就处于可访问状态，若此时内存分配失败，PHP未能正确处理提前退出，导致请求内存处于无效状态。攻击者可通过构造包含大量头部、嵌套字段名或空文件控件的multipart请求，在看似不超过post_max_size限制的情况下耗尽memory_limit，触发OOM。在Apache mod_php等无条件调用请求关闭过程的SAPI中，关闭过程会处理这些无效状态，最终导致内存破坏和远程代码执行。

2.PHP远程代码执行漏洞（CVE-2026-109619）

在PHP中，由于PHP工作进程会保留指向前一个请求内存的全局状态（如错误、会话、对象和扩展状态），但在请求内存释放前未完全重置该状态，导致释放后使用。当某些输入、配置、会话或错误处理操作在下一个请求正常初始化之前运行时，它们会访问这些未被重置的陈旧状态。攻击者可通过构造特定的堆布局，利用跨请求的生命周期漏洞（例如致命错误导致状态未被重置，或后续诊断信息重新填充了已清理的错误状态），在同一个工作进程处理的两个请求中分别充当生产者和消费者，最终实现未经身份验证的堆释放后使用、内存泄露或远程代码执行。

PHP官方发布紧急安全更新，修复两项严重远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，CVSS4.0：均为9.2）。

严重等级：严重

【影响范围】

已知受影响的操作系统及版本：

8.2.35版本之前的8.2.x版本；

8.3.36版本之前的8.3.x版本；

8.4.27版本之前的8.4.x版本；

8.5.12版本之前的8.5.x版本；

此外，该漏洞还影响Magento、WordPress、Drupal、Joomla、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart等基于PHP环境的主流CMS和框架。

【自查方法】

一、互联网用户可通过以下方式查看PHP使用版本，在此基础上对照影响范围判断是否受此漏洞影响：

（1）使用php-v命令查询；

（2）CLI和Web服务器可能运行不同的PHP版本，需使用php-fpm-v或php-fpm8.3-v命令查询版本。

【修复建议】

一、目前，PHP官方已修复漏洞并发布安全公告，受影响用户应密切关注官方信息，通过官方渠道下载并更新至最新版。下载地址：https://www.php.net/archive/2026.php#2026-10-21-5

（注：PHP8.1及以下版本，PHP社区已停止安全维护，不提供修复补丁，需替换为更高版本，或采取缓解、防护措施）

二、临时缓解方案

暂无法更新的用户可采取以下措施减少部分攻击路径，缓解漏洞威胁：

（1）PHP-FPM可设置memory_limit=-1移除可预测的单次请求内存限制；mod_php可关闭会话上传进度功能与fatalbacktrace：全局设置session.upload_progress.enabled=0（PHP8.5可设置fatal_error_backtraces=0），并重启全部工作进程或Web服务器。

（2）阻断跨请求状态传递，此方式会降低服务性能。FPM池pm.max_requests=1，mod_php对应Apache的MaxRequestsPerChild=1。

（3）通过WAF等安全设备拦截异常multipart/form-data的HTTP请求。

（4）持续监测PHP进程异常退出、系统异常命令调用、陌生进程创建、异常文件写入等行为，留存日志用于溯源分析。

【参考链接】

https://www.php.net/archive/2026.php#2026-10-20-1

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w