【漏洞复现】天融信关于PHP远程代码执行漏洞CVE-2026-109618/CVE-2026-109619(PHP2Shell)的风险提示

天融信应急响应
天融信应急响应

天融信阿尔法实验室

2026年10月22日 12:17
北京

去阅读

1背景介绍

10月21日，天融信阿尔法实验室监测到PHP官方发布紧急安全发布预告，PHP核心存在两个严重远程代码执行漏洞CVE-2026-109618、CVE-2026-109619（社区称PHP2Shell），PHP安全团队对两个漏洞的CVSS v4.0评分均为9.2。因漏洞信息在预定披露前提前泄露，PHP官方已定于2026年10月21日14:00 UTC（北京时间22:00）发布安全更新。目前，漏洞细节及Exp已经在互联网上公开，且已被在野利用。因此，请相关用户清查资产，并尽快升级。

2漏洞描述

PHP是一种广泛使用的开源通用脚本语言，尤其适用于Web开发，可嵌入HTML并在服务端执行。它通过PHP-FPM、mod\_php、php-cgi等运行方式处理动态页面、表单、会话及文件上传等逻辑，为上层应用提供运行时环境。凭借其易用性、丰富的生态和广泛的主机支持，PHP支撑了大量网站和Web应用，包括WordPress、Drupal、Joomla等内容管理系统以及Magento、WooCommerce等电商平台。

CVE-2026-109618和CVE-2026-109619是PHP核心中的两个远程代码执行（RCE）漏洞。PHP安全团队于2026年10月20日在php.net发布预告，确认即将发布的安全更新将修复两个严重漏洞，两者CVSS v4.0评分均为9.2，并明确表示完整技术细节、受影响版本和修复版本将随2026年10月21日14:00 UTC（北京时间22:00）的正式发布一并公布。

已知利用条件与公开情况：

1、目标以Web方式运行PHP，session.upload\_progress.enabled处于开启状态（默认开启），且存在可访问的PHP脚本作为请求入口；上传进度处理发生在应用代码执行之前；

2、攻击者能够向目标发送特制的multipart/form-data POST请求，同时携带PHPSESSID、PHP\_SESSION\_UPLOAD\_PROGRESS表单字段与文件字段；本地验证表明，在use\_only\_cookies=1的配置下，仅凭multipart字段即可使服务器按指定ID创建会话文件，无需Cookie；

天融信已在PHP 8.4.26上成功复现PHP2Shell。

成功实现命令执行后，会在安装PHP的服务器（当前为docker容器）上执行id命令并将命令执行结果写到/out/p1文件中，docker容器的/out目录被挂载到当前目录下的out目录。

3漏洞编号

CVE-2026-109618、CVE-2026-109619

4漏洞等级

严重

5受影响版本

漏洞可能影响PHP 5及之后的所有版本，PHP当前受支持的分支为8.2、8.3、8.4和8.5

6修复建议

6.1 版本升级

PHP官方已发布修复版本，应尽快升级至对应分支的安全版本。升级时需注意：替换PHP二进制后必须重启Web服务器及PHP-FPM等所有工作进程，仅更新文件而不重启进程无法消除风险；容器环境应重新构建镜像，Kubernetes环境下需滚动重启所有Pod，确保不存在旧版本进程继续提供服务。

下载链接：https://www.php.net/downloads.php

官方漏洞公告：

CVE-2026-109618：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

CVE-2026-109619：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

6.2 临时解决方案

在完成版本升级前，建议采取以下过渡措施：

1、收敛攻击面：梳理并限制PHP服务对公网的暴露，对非必要对外访问的管理后台、测试环境等实施网络隔离；

2、请求层防护：在Web入口部署WAF等安全设备，对包含异常multipart结构的HTTP请求进行拦截，为漏洞修复争取时间；

3、关闭非必要功能：若业务场景不涉及文件上传进度反馈，可在php.ini中关闭session.upload\_progress.enabled。如使用PHP-FPM，建议同时在池配置中通过php\_admin\_flag锁定该参数，防止被应用层.user.ini覆盖恢复。

7声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们