【安全预警】PHP 远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619)安全风险通告

奇安信 CERT

2026年10月21日 10:35
北京

去阅读

● 点击↑蓝字关注我们，获取更多安全风险通告

01

漏洞详情

>>>>

影响组件

PHP 是一种广泛使用的开源服务器端脚本语言，主要用于 Web 开发，能够嵌入 HTML 并处理动态内容、数据库交互及会话管理，支持多种操作系统与 Web 服务器，是大量内容管理系统、电商平台与 Web 框架的运行时基础。

>>>>

漏洞描述

近日，CERT-EU 已就 PHP 中存在的两个严重安全漏洞 CVE-2026-109618、CVE-2026-109619 发布警报，官方给出的 CVSS 评分为 9.2，漏洞类型为远程代码执行，成因类别涉及代码注入与越界写（CWE-94、CWE-787）。公开研究信息提示，漏洞影响可能涉及多个 PHP 历史分支（PHP 5 至 PHP 8.5）；有研究人员初步将相关攻击面指向 PHP 会话上传进度（session upload progress）处理路径，涉及 php\_session\_rfc1867\_callback 函数（ext/session/session.c），并怀疑该路径存在释放后使用（use-after-free）类内存破坏问题。上述分析及其与两个 CVE 的具体对应关系尚未获得 PHP 官方确认，准确影响版本、配置要求与修复版本仍以官方安全公告为准。由于会话上传进度功能自 PHP 5.4 引入且默认开启，其处理发生在应用脚本执行之前，若该攻击面得到确认，影响面将覆盖大量默认配置的 PHP 部署环境。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

需要能够访问运行受影响版本 PHP 的 Web 服务；具体触发条件待官方技术细节公布后确认。仅依赖应用层登录校验或未提供上传功能页面，不能据此认定系统不受影响。

02

影响范围

>>>>

影响版本

PHP 5 至 PHP 8.5（截至本通告撰写时，官方尚未公布两个漏洞各自的准确影响版本、配置要求及修复版本）。

>>>>

其他受影响组件

以 PHP 为运行时的应用、框架与建站系统可能间接受影响，涉及 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal 等，以及 mod\_php、PHP-FPM（含 Docker PHP-FPM 镜像）等部署形态。

03

处置建议

>>>>

安全更新

关注 CERT-EU 及 PHP 官方安全更新（PHP Security Release for CVE-2026-109618 and CVE-2026-109619）。PHP 官方计划于 2026 年 10 月 21 日 22:00（北京时间）发布安全更新，并同步公布漏洞详情、影响范围与修复版本；如技术细节提前公开或出现实际利用证据，官方可能提前发布。

更新发布后，应立即依据官方公告升级至明确修复上述漏洞的 PHP 版本。使用操作系统发行版、容器镜像或托管服务提供的 PHP 时，应采用供应商标注已修复相关 CVE 的安全更新；更新后按供应商要求重启或替换服务进程，并确认所有业务实例均运行修复后的 PHP 版本。

临时缓解措施：

1.清点对外提供服务的 PHP 主机与容器实例，建立版本台账，优先处置直接暴露于互联网的 Web 服务。

2.对公网暴露的 PHP 业务系统加强访问控制与 WAF 防护，收敛不必要的外部可达接口与调试入口。

3.遵循最小权限原则运行 PHP 服务进程，限制其可写目录与可执行目录，降低代码执行成功后的影响。

4.检查 Docker PHP-FPM 镜像及开发、测试、生产环境的 PHP 版本一致性，避免遗漏仍在运行旧版本的容器或环境。

5.加强 Web 服务日志与主机行为监测，重点关注 Web 进程的异常子进程创建、非预期文件写入及可疑外联行为。

04

参考资料

[1]https://note.com/zenkok/n/n9550d4455982

05

时间线

2026年10月21日，漏洞公开披露：CVE 信息已公开，可据此核对受影响产品与版本并启动修复。奇安信 CERT发布安全风险通告。

06

漏洞情报服务

「奇安信漏洞情报平台」重磅上线，诚邀您来体验：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。