【漏洞预警】PHP远程代码执行漏洞（CVE-2026-109618 / CVE-2026-109619）

信通云服
信通云服

信通云服

2026年10月22日 10:00
海南

去阅读

【漏洞描述】

组件介绍

PHP是全球应用最广泛的服务端脚本语言之一，WordPress、Drupal、Joomla等主流建站程序以及大量政企自研 Web 业务系统均基于 PHP 开发。常见部署运行模式包含Apache mod\_php、PHP-FPM、FrankenPHP、LSAPI等。

CVE-2026-109618 漏洞简介

该漏洞源于PHP使用longjmp()处理内存耗尽错误的机制缺陷。当内存分配失败发生在请求数据结构未完全初始化的阶段时，PHP会通过longjmp提前跳出请求上下文，但未正确处理该异常场景，导致请求内存停留在无效状态；后续请求关闭流程读取或操作该无效内存时会触发内存损坏，最终可实现远程代码执行。

CVE-2026-109619 漏洞简介

该漏洞属于跨请求释放后重用漏洞。PHP持久化工作进程会维护错误、会话、扩展相关的全局状态指针，这些指针原本绑定当前请求的内存。如果上一条请求因内存耗尽、执行超时、编译失败等致命异常提前终止，部分全局状态不会被重置。请求内存释放后，指针依旧指向这块已经释放的内存；当该工作进程处理下一条新请求时，会在新请求初始化完成前访问这些残留的无效指针，触发UAF，最终可实现远程代码执行。

【影响范围】

受影响版本：

PHP 8.5 < 8.5.12

PHP 8.4 < 8.4.27

PHP 8.3 < 8.3.36

PHP 8.2 < 8.2.35

PHP 8.1 及更早版本：已停止官方维护，无官方安全补丁

【修复建议】

一、官方补丁修复

PHP官方已在所有受支持分支发布安全修复版本，升级补丁是唯一完整的修复方案，建议立即升级至对应安全版本：

PHP 8.5：升级至 8.5.12 及以上

PHP 8.4：升级至 8.4.27 及以上

PHP 8.3：升级至 8.3.36 及以上

PHP 8.2：升级至 8.2.35 及以上

二、临时缓解措施

1、设置PHP memory\_limit = -1，移除可预测的内存限制；

2、设置fatal\_error\_backtraces = 0，关闭致命错误回溯；

3、设置session.upload\_ progress. enabled = 0，关闭会话上传进度功能。

【参考链接】

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

https://www.php.net/archive/2026.php