【已复现】PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)

深瞳漏洞实验室
深瞳漏洞实验室

深信服千里目安全技术中心

2026年10月22日 12:37
北京
标题已修改

去阅读

漏洞名称：

PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)

组件名称：

PHP

影响范围：

8.2.x <= PHP < 8.2.35
8.3.x <= PHP < 8.3.36
8.4.x <= PHP < 8.4.27
8.5.x <= PHP < 8.5.12

漏洞类型：

代码执行

利用条件：

1、用户认证：否

2、前置条件：默认配置

3、触发方式：远程

综合评价：

<综合评定利用难度>：攻击触发门槛低，完整代码执行的实现与目标运行环境配置相关。

<综合评定威胁等级>：严重，能造成远程代码执行。

官方解决方案：

已发布

漏洞分析

组件介绍

PHP（PHP: Hypertext Preprocessor）即“超文本预处理器”，是在服务器端执行的脚本语言，尤其适用于Web开发并可嵌入HTML中。PHP语法学习了C语言，吸纳Java和Perl多个语言的特色发展出自己的特色语法，并根据它们的长项持续改进提升自己，例如java的面向对象编程，该语言当初创建的主要目标是让开发人员快速编写出优质的web网站。 PHP同时支持面向对象和面向过程的开发，使用上非常灵活。

漏洞简介

2026年10月22日，深瞳漏洞实验室监测到一则PHP组件存在多个代码执行漏洞的信息，漏洞编号：CVE-2026-109618、CVE-2026-109619，漏洞威胁等级：严重。

PHP 的会话上传进度机制(session.upload\_progress)存在两个预认证远程代码执行漏洞(CVE-2026-109618/109619)。攻击者通过构造特制的文件上传请求，可利用该机制在内存异常耗尽和进程状态复位不彻底时的缺陷触发释放后重用，先泄露进程内存地址绕过地址随机化，再劫持程序执行流程，以 Web 服务权限执行任意命令，且可绕过 disable\_functions；此外该机制还会不加过滤地将攻击者指定的会话 ID 与上传文件名写入会话文件，在特定配置的站点上可进一步触发反序列化代码执行。攻击不要求目标应用存在任何缺陷，任意 PHP 页面均在攻击面内，影响 PHP 5.4 至 8.5.11 的默认配置版本，WordPress 等主流应用均受影响。

崩溃复现验证，效果如下：

自建 Docker 靶场，Apache 2.4 + PHP 8.4.26（mod\_php、prefork、MaxRequestWorkers=1 单 worker），php.ini 配置为 memory\_limit=8M、post\_max\_size/upload\_max\_filesize=64M、session.upload\_progress.enabled=On、session.use\_strict\_mode=0、session.use\_cookies=1，目标为WordPress下的 28 字节桩页 /wp-content/index.php，命令载荷 ≤14 字节，多轮重试后命中。效果如下：

此RCE利用条件较为苛刻，关于此RCE是否具有通用利用链，深瞳漏洞实验室正在持续研究中。

影响范围

目前受影响的PHP版本：

8.2.x <= PHP < 8.2.35
8.3.x <= PHP < 8.3.36
8.4.x <= PHP < 8.4.27
8.5.x <= PHP < 8.5.12

解决方案

官方修复建议

官方已发布修复补丁，请更新至最新版本。
PHP 8.5.12，PHP 8.4.27，PHP 8.3.36，PHP 8.2.35
下载地址：https://www.php.net/downloads.php

临时缓解方案

CVE-2026-109618：

• 在 FPM pool/服务器配置层取消 PHP 单请求内存上限（memory\_limit=-1），并排查各 pool、目录、应用配置是否有覆盖。

• post\_max\_size 取保守值；反向代理/WAF 再单独限制解码后的请求体大小。

• 收紧输入嵌套层级、变量数量、multipart 分段数、分段头数量和上传文件数。

• 容器/cgroup 内存限制可作补充，但不要用 RLIMIT\_AS/RLIMIT\_DATA。

CVE-2026-109619：

• 在 php.ini 或 FPM pool 设置 session.upload\_progress.enabled=0，并重启全部 worker。

• PHP 8.5 设置 fatal\_error\_backtraces=0。

• 减少攻击者可达的致命错误和可预测超时触发点。

• 性能允许时设 pm.max\_requests=1，切断跨请求状态残留。

深信服解决方案

1、风险资产发现

支持对PHP组件的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：

【深信服统一端点安全管理系统aES】 已发布资产检测方案，指纹ID:0006509。

【深信服云镜YJ】 已发布资产检测方案，指纹ID:0006509。

【深信服漏洞评估工具TSS】已发布资产检测方案，指纹ID:0006509。

2、漏洞主动检测

支持对PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：

【深信服统一端点安全管理系统aES】预计2026年10月23日发布检测方案，规则ID: d44148de32f847b392685c4c25cd2abe。

【深信服云镜YJ】预计2026年10月22日发布检测方案，规则ID:SF-0005-22845。

【深信服可拓展检测响应平台XDR】预计2026年10月22日发布检测方案（需要具备云镜组件能力），规则ID:SF-0005-22845。

3、漏洞安全监测

支持对PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)的监测，可依据流量收集实时监控业务场景中的受影响资产情况，快速检查受影响范围，相关产品及服务如下：

【深信服安全感知管理平台SIP】预计2026年10月22日发布监测方案，规则ID:11224850。

【深信服安全托管服务MSS】预计2026年10月22日发布监测方案（需要具备SIP组件能力），规则ID:11224850。

【深信服可拓展检测响应平台XDR】预计2026年10月22日发布监测方案，规则ID:11224850。

4、漏洞安全防护

支持对PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)的防御，可阻断攻击者针对该事件的入侵行为，相关产品及服务如下：

【深信服下一代防火墙AF】预计2026年10月22日发布防护方案，规则ID:11224850。

【深信服Web应用防火墙WAF】预计2026年10月22日发布防护方案，规则ID:11224850。

【深信服安全托管服务MSS】预计2026年10月22日发布防护方案（需要具备AF组件能力），规则ID:11224850。

【深信服可拓展检测响应平台XDR】预计2026年10月22日发布防护方案（需要具备AF组件能力），规则ID:11224850。

参考链接

https://www.php.net/archive/2026.php#2026-10-20-1

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

时间轴

2026/10/21

深瞳漏洞实验室监测到PHP 远程代码执行漏洞信息。

2026/10/22

深瞳漏洞实验室发布漏洞通告。

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。