【漏洞风险通告】PHP远程代码执行漏洞

迪普科技

2026年10月22日 15:56
浙江

去阅读

PHP是全球广泛使用的服务器端编程语言。该漏洞是PHP核心（PHP Core）中存在的严重漏洞，CVSS评分高达9.2（严重）。攻击者无需身份认证，通过构造恶意HTTP请求即可触发内存破坏（释放后重用UAF）或内存耗尽缺陷，在服务器上以PHP进程权限执行任意代码，可能导致服务器被完全控制、敏感数据泄露或业务中断。

目前官方已经发布了修复版本。迪普科技建议相关用户及时进行修补更新，做好相关防护措施。

严重等级

高危

漏洞描述

CVE-2026-109618：该漏洞是PHP内存耗尽缺陷漏洞，利用PHP在内存耗尽（OOM）时longjmp()提前退出的机制，导致未完全初始化的请求内存在关闭阶段被错误消费，触发内存破坏。

CVE-2026-109619：该漏洞是PHP跨请求陈旧状态缺陷，利用PHP工作进程在请求结束后全局状态未正确重置，导致后续请求在初始化前访问已释放的内存，形成释放后重用（UAF）。

影响版本

PHP 8.2.x < 8.2.35

PHP 8.3.x < 8.3.36

PHP 8.4.x < 8.4.27

PHP 8.5.x < 8.5.12

漏洞原理

CVE-2026-109618：PHP在处理内存耗尽（Out of Memory，OOM）错误时，使用longjmp()进行非本地跳转以提前退出当前执行上下文。在某些场景下，请求内存尚未完全初始化就已经处于可访问状态；一旦此时出现内存分配失败，PHP未能正确处理该提前退出逻辑，将会造成请求内存状态无效。

CVE-2026-109619：PHP工作进程会复用以提升性能，但每次请求拥有独立的内存空间。某些内部全局状态保留在工作进程中，却指向单次请求持有的内存（如错误、会话、对象或扩展相关状态）。这些引用必须在请求内存释放前正确重置，否则形成释放后使用（Use-After-Free，UAF）。

漏洞检测

版本检测：

相关用户可通过查看PHP的版本来判断应用是否在受影响范围内：

PHP -v:

漏洞验证

在PHP8.2.34上成功复现PHP2Shell：

解决方案

官方解决方案

当前官方已发布修复版本，及时升级。升级后需重启Web服务与PHP工作进程，确保旧进程不再处理请求。

更新地址：https://www.php.net/downloads.php

迪普科技解决方案

迪普科技安全研究院监测到PHP远程代码执行漏洞后，迅速采取了应急措施。

1

使用迪普科技“慧眼检测平台”检测现网环境中是否存在PHP远程代码执行漏洞。

2

使用迪普科技“态势感知平台”检测现网环境中是否存在PHP远程代码执行漏洞攻击行为。

◆ 态势感知特征库版本：2026100501

3

迪普科技DPtech IPS2000、FW1000、WAF3000安全产品将在以下特征库版本中对PHP远程代码执行漏洞进行有效防护：

◆ 产品系列：IPS2000、FW1000

◆ 漏洞库版本：IPS-R3.1.494、IPS-R3.3.121、IPS-R4.1.208

◆ 产品系列：WAF3000

◆ 漏洞库版本：WAF-R3.1.384、WAF-R2.1.384

4

迪普科技安全服务团队可协助客户完成现网安全风险评估，针对网络安全入侵事件，提供快速应急响应支撑服务以及专业的安全建设建议。

5

迪普科技官网特征库下载地址：

http://www.dptech.com/index.php?m=content&c=index&a=lists&catid=57

迪普科技正在全力跟踪相关漏洞最新进展，请启动设备自动更新特征库功能，如有疑问，可联系迪普科技当地办事处售后人员或拨打客户服务热线：400-6100-598，进一步了解相关情况。

往期推荐

END