PHP远程代码执行漏洞风险通告及德材翌科技服‮安务‬排

尊敬的客户及合作伙伴：

近日监测到 PHP 存在两处高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，代号“php2shell”），攻击者可能构造恶意请求触发漏洞(未经身份验证的远程攻击者可通过发送特制的 HTTP 请求（如 multipart POST 请求）触发内存破坏，在服务器上执行任意代码)，进而执行任意代码并控制服务器。漏洞在请求进入业务代码之前即可触发，一定条件下，PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等处理 Web 请求的部署方式将受影响。

请相关用户尽快排查业务中 PHP 的使用情况，若在影响范围内，建议第一时间完成更新或采取缓解措施。

漏洞详情

PHP 是一种开源的通用服务端脚本语言，被广泛用于 Web 网站和应用开发。

1.RCE via OOM corruption (CVE-2026-109618)

PHP 在处理内存耗尽（OOM）错误时，会通过 longjmp() 直接退出当前上下文。在部分场景下，请求相关的内存在完全初始化之前就已处于可访问状态，若此时发生内存分配失败，请求清理流程会将未初始化的无效数据当作有效数据处理。攻击者可构造包含大量请求头、嵌套字段名或空文件控件的 multipart 请求，在不超过 post_max_size 限制的情况下耗尽 memory_limit 触发 OOM，最终导致内存破坏和远程代码执行。Apache mod_php 等会无条件执行请求关闭流程的部署方式风险最高。

2.RCE via stale global state (CVE-2026-109619)

PHP 工作进程会保留指向上一个请求内存的全局状态（如错误、会话、对象和扩展状态），但在请求内存释放前未将这些状态完全重置。同一工作进程处理下一个请求时，若部分输入解析、配置、会话或错误处理逻辑在请求正常初始化之前运行，就会访问这些残留的陈旧状态，造成释放后使用（Use-After-Free）。一定条件下，攻击者可借助两个先后到达同一工作进程的请求完成利用，实现内存信息泄露或远程代码执行。官方已确认 session.upload_progress（Session 上传进度）是其中一条可利用路径。

风险等级

高风险

漏洞风险

未经身份验证的远程攻击者利用此漏洞可获得 Web 工作进程权限，可访问或篡改该账户可访问的数据或文件、植入恶意程序，并可能进一步导致服务器被完全接管、敏感数据泄露等影响。

影响版本

• PHP < 8.2.35

• 8.3.0 <= PHP < 8.3.36

• 8.4.0 <= PHP < 8.4.27

• 8.5.0 <= PHP < 8.5.12

安全版本

• PHP 8.2.35

• PHP 8.3.36

• PHP 8.4.27

• PHP 8.5.12

修复建议

1.官方已发布安全修复版本，请评估业务影响后尽快升级至对应分支的安全版本：

https://www.php.net/downloads.php

2.PHP 8.1 及更早版本已停止官方维护，不会发布新的正式版本。PHP 安全团队针对 PHP 7.4、8.0、8.1 提供了仅包含本次漏洞修复的源码补丁，可自行编译使用；也可联系操作系统发行版或 LTS 服务商获取已修复的软件包。建议尽快升级至仍在维护的 PHP 版本。

https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619

https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619

https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619

3.缓解措施（只能降低风险，不能完全替代漏洞修复，仍需尽快升级）：

（1）CVE-2026-109618： 暂无法升级时，可由管理员强制设置 memory_limit=-1，重启全部 PHP 工作进程并确认配置未被覆盖；同时在前端限制解码后的请求体大小、上传数量及输入复杂度，不使用 multipart 表单的应用可阻断此类请求。取消内存上限需评估资源耗尽风险，且不应使用 RLIMIT_AS 或 RLIMIT_DATA 作为替代防护。具体措施可参考：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

（2） CVE-2026-109619： 暂无法升级时，可设置 session.upload_progress.enabled=0；PHP 8.5 还可设置 fatal_error_backtraces=0 进行缓解，均需由管理员强制配置并重启全部工作进程。PHP-FPM 可在评估性能影响后设置 pm.max_requests=1，减少跨请求状态复用。具体措施可参考 ：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

漏洞参考链接

https://www.php.net/archive/2026.php

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

https://avd.aliyun.com/detail?id=AVD-2026-109618

💡 服‮安务‬排如下：

✅ 售后期‮的内‬客户：统一免费‮查检‬与升级，保障‮站网‬安全，无需您额外操心！

⚠️ 售后‮期到‬的客户：由于‮务服‬已过期，请务必尽‮自快‬行检查并升级，切勿留‮全安‬隐患带来数据及财产损失！

如果需‮协要‬助排查、升级，或者‮要需‬续费售后服务，随时私信我！安‮无全‬小事，防患‮未于‬然！🤝