【安全预警】PHP 两项严重远程代码执行漏洞

六边形攻防安全

2026年10月21日 10:16
河北

去阅读

编者荐语：

腥风血雨

以下文章来源于360漏洞研究院
，作者360漏洞研究院

360漏洞研究院
.

“洞”悉网络威胁，守护数字安全。

近日，PHP 安全团队发布紧急安全更新预告，宣布将修复两项严重漏洞，官方给出的 CVSS v4.0 评分均为 9.2。相关漏洞被标识为 CVE-2026-109618 和 CVE-2026-109619，可能导致远程代码执行。攻击成功后，可能造成网站被篡改、敏感信息泄露或服务器失陷。

建议相关单位立即开展 PHP 资产排查，做好紧急更新准备，并优先关注互联网暴露的业务系统。

01

漏洞影响范围

截至本通告撰写时，PHP 官方尚未公布两个漏洞各自的准确影响版本、配置要求及修复版本。

公开研究信息提示，影响可能涉及多个 PHP 历史分支；其中，部分研究人员将疑似攻击面指向 PHP 5.4 引入的会话上传进度功能。

02

修复建议

PHP 官方计划于 2026年10月21日22:00（北京时间）发布安全更新，并同步公布漏洞详情、影响范围及修复版本；如出现技术细节提前公开或实际利用证据，官方可能提前发布。当前尚不能提供经过官方确认的修复版本号。

更新发布后，应立即根据官方公告升级至明确修复上述漏洞的 PHP 版本；使用操作系统发行版、容器镜像或托管服务提供的 PHP 时，应采用供应商明确标注已修复相关 CVE 的安全更新。更新后按供应商要求重启或替换相关服务进程，确认所有业务实例均已运行修复后的 PHP 版本。

03

漏洞描述

有研究人员初步将相关漏洞的攻击面指向 PHP 会话上传进度（session upload progress）处理路径，涉及 php\_session\_rfc1867\_callback 函数（ext/session/session.c）。目前，该分析及其与两个 CVE 的具体对应关系尚未得到 PHP 官方确认。

PHP 会话上传进度功能自 PHP 5.4 引入，默认开启，其进度信息处理发生在应用脚本执行之前。因此，若上述攻击面得到确认，仅依赖应用层登录校验或未提供上传页面，不能据此认定系统安全。

部分第三方分析怀疑相关路径存在释放后使用（use-after-free）问题，可能通过特制的 multipart/form-data 请求触发内存破坏，进而导致远程代码执行。具体漏洞成因、利用条件及影响范围仍以官方后续公告为准。

04

时间线

2026年10月21日，360漏洞研究院发布本安全风险通告。

05

参考链接

https://www.php.net/archive/2026.php#2026-10-20-1

https://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/

06

更多漏洞情报

“扫描下方二维码，进入公众号粉丝交流群。更多一手网安资讯、漏洞预警、技术干货和技术交流等您参与！”

建议您订阅360漏洞情报服务，获取更多漏洞情报详情以及处置建议，让您的企业远离漏洞威胁。

邮箱：[email protected]

网址：https://vi.loudongyun.360.net

“洞”悉网络威胁，守护数字安全

关于我们

360 漏洞研究院，隶属于360安全能力中心。其成员常年入选谷歌、微软、华为等厂商的安全精英排行榜, 并获得谷歌、微软、苹果史上最高漏洞奖励。研究院是中国首个荣膺Pwnie Awards“史诗级成就奖”，并获得多个Pwnie Awards提名的组织。累计发现并协助修复谷歌、苹果、微软、华为、高通等全球顶级厂商CVE漏洞3000多个，收获诸多官方公开致谢。研究院也屡次受邀在BlackHat，Usenix Security，Defcon等极具影响力的工业安全峰会和顶级学术会议上分享研究成果，并多次斩获信创挑战赛、天府杯等顶级黑客大赛总冠军和单项冠军。研究院将凭借其在漏洞挖掘和安全攻防方面的强大技术实力，帮助各大企业厂商不断完善系统安全，为数字安全保驾护航，筑造数字时代的安全堡垒。