【零日雷达】【已验证RCE】PHP 远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）

2026 年 10 月 21 日，PHP 官方披露两项严重漏洞并发布安全更新公告：CVE-2026-109618 和 CVE-2026-109619。两项漏洞的官方 CVSS 4.0 评分均为 9.2。建议运行 PHP Web 服务的用户尽快升级，并依据实际 SAPI、应用操作及配置评估风险。

安恒零日雷达捕获到cve信息，并分析完成，成功复现远程代码执行。

漏洞信息

PHP 是广泛用于服务端 Web 开发的脚本语言。此次问题涉及请求内存管理及跨请求工作进程状态，PHP-FPM、mod_php 等部署均需结合官方公告排查。

漏洞描述

漏洞危害等级：严重（PHP 官方评级）

漏洞类型：OOM 内存损坏；跨请求全局状态释放后使用

CVE-2026-109618：OOM 内存损坏。PHP 在内存耗尽时通过 longjmp() 提前退出，可能留下尚未完整初始化的请求内存。请求关闭流程随后访问这些无效状态，可造成内存损坏和远程代码执行。官方已在 Apache mod_php 默认输入与内存限制下，通过 HTTP 验证完整的未认证 RCE，触发可发生在应用代码执行前。

对本项 OOM 漏洞，PHP-FPM 在请求启动失败时会退出子进程，因此阻断上述启动阶段路径；正常启动后仍可能通过应用相关 OOM 受影响，但该公告没有演示完整 FPM 利用。FrankenPHP、LSAPI 的相关判断基于源码分析，不能写成均已完成利用验证。

CVE-2026-109619：跨请求全局状态释放后使用。工作进程中的全局状态仍持有上一请求已释放内存的指针，后续请求在正常初始化重置前访问旧状态，可造成堆释放后使用、内存泄露及远程代码执行。产生旧状态与消费旧状态的请求必须到达同一工作进程。

官方确认 PHP 8.5 致命错误回溯路径可在 mod_php 下实现 RCE，并确认会话上传进度生命周期路径可在 mod_php 和 PHP-FPM 下实现 RCE。FPM 已验证路径依赖正常启动后合适的应用操作，不能据此认定所有默认 FPM 环境均可在应用代码执行前无条件执行代码。会话上传进度功能默认开启，触发相关处理不要求应用主动调用 session_start()。

两项漏洞的官方向量均为 CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N。官方确认的研究利用与公开 EXP、在野利用是不同概念；所引公告没有说明公开完整 EXP 或在野利用情况。

影响范围按 PHP 分支分别确认：8.2 分支升级至 8.2.35，8.3 分支升级至 8.3.36，8.4 分支升级至 8.4.27，8.5 分支升级至 8.5.12，或使用相应分支更高的安全版本。PHP 8.1 及更早分支已结束官方支持，应迁移至受支持版本或向发行版、LTS 供应商核实补丁。官方提供的部分旧分支最小源码回移不代表恢复支持，也不代表旧版本不受影响。

影响范围

影响版本：PHP 5.4.0–8.1.x；PHP 8.2.x < 8.2.35；PHP 8.3.x < 8.3.36；PHP 8.4.x < 8.4.27；PHP 8.5.x < 8.5.12。

安全版本：PHP 8.2.35、8.3.36、8.4.27、8.5.12，或对应分支后续安全版本

修复方案

官方修复方案

? 尽快升级至 PHP 8.2.35、8.3.36、8.4.27、8.5.12 或对应分支后续安全版本。这些版本同时修复上述两项漏洞；升级至包含完整补丁的版本是完整修复方案。

? 从 PHP 官方或操作系统供应商获取更新。使用发行版回补补丁时，依据供应商安全公告确认修复状态，不能仅比较上游版本字符串。

? 完成更新后重启全部 PHP 工作进程和相关服务，核对实际 Web SAPI 的版本及生效配置，避免仅检查 CLI 版本。

临时缓解方案

以下措施仅减少部分路径风险，不能替代升级，实施前需评估业务与资源影响。

? 对 OOM 漏洞，官方建议无法立即升级时，在管理员级配置中强制 memory_limit=-1，重启全部工作进程，并确认池、目录或应用配置没有恢复有限值。该措施移除已验证攻击依赖的可控请求内存上限，但底层分配失败仍可能触发问题，且解除 PHP 内存限制会增加资源耗尽风险。

? 在前端独立限制解码后的请求体大小，合理设置 post_max_size，限制输入变量、multipart 分段及每段头数量、上传数量和 max_input_nesting_level。不需要 multipart 的应用可在前端拒绝此类请求。不得使用 RLIMIT_AS 或 RLIMIT_DATA 替代 PHP 内存上限，因为其可能诱发底层分配失败并进入漏洞路径。

? 对跨请求状态漏洞，在请求解析前生效的服务器启动配置、php.ini 或 FPM 池配置中设置 session.upload_progress.enabled=0，并重启全部工作进程；此措施仅阻断已确认的会话路径。PHP 8.5 可另设置 fatal_error_backtraces=0 并重启，以阻断已确认的致命错误回溯路径。

? 上述配置必须在相关处理之前生效，不能依赖脚本内的 ini_set() 或 FPM .user.ini。清理无效、冲突或废弃 INI 项及初始化前诊断，排查攻击者可达操作中的致命错误、执行超时和清理流程。关闭 display_errors、log_errors 或调整 error_reporting 不能防护跨请求状态漏洞。

参考资料

https://www.php.net/index.php
https://www.php.net/archive/2026.php#2026-10-21-5
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
https://www.php.net/downloads.php

技术支持

如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。

点点赞
点分享
点喜欢
点击下方名片立即关注
不走丢哦！

往期精彩回顾

蝉联第一！国际数据公司2026H1市场排名:安恒信息获中国数据安全市场份额第一

2026-10-22

证监会将发布金融行业AI安全合规应用意见

2026-10-21

国家数据集团成立！西湖论剑上线“全国数据集团动态全景图谱”

2026-10-20

法律声明
本文数据均来自内部统计、媒体报道、公开信息整理等，仅供信息分享，可能存在统计口径差异或误差，敬请理性看待，我们不对其准确性承担责任。股市有风险，投资需谨慎。阅读者在作出任何投资决定之前，应当咨询各自的顾问。本公众号发布内容仅代表内容创作视角，不构成任何投资建议或投资依据。在任何情况下，本公众号及运营主体不对任何人的投资结果承担法律责任。本公众号原创内容，欢迎合法合规复制、转载，转载时请务必注明出处，不得断章取义、以偏概全或进行有悖原意的引用。