2026-10-24 15:35:50 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【风险提示】天融信关于PHP远程代码执行漏洞CVE-2026-109618/CVE-2026-109619(PHP2Shell)的风险提示

天融信应急响应
天融信应急响应

天融信阿尔法实验室

2026年10月21日 19:15
北京

去阅读

1背景介绍

近日，天融信阿尔法实验室监测到PHP官方发布紧急安全发布预告，PHP核心存在两个严重远程代码执行漏洞CVE-2026-109618、CVE-2026-109619（社区称PHP2Shell），PHP安全团队对两个漏洞的CVSS v4.0评分均为9.2。因漏洞信息在预定披露前提前泄露，PHP官方已定于2026年10月21日14:00 UTC（北京时间22:00）发布安全更新。截至发稿，官方尚未发布补丁及完整技术细节，尚无经权威机构确认的公开PoC及在野利用。因此，请相关用户清查资产，并在补丁发布后第一时间升级。

2漏洞描述

PHP是一种广泛使用的开源通用脚本语言，尤其适用于Web开发，可嵌入HTML并在服务端执行。它通过PHP-FPM、mod\_php、php-cgi等运行方式处理动态页面、表单、会话及文件上传等逻辑，为上层应用提供运行时环境。凭借其易用性、丰富的生态和广泛的主机支持，PHP支撑了大量网站和Web应用，包括WordPress、Drupal、Joomla等内容管理系统以及Magento、WooCommerce等电商平台。

CVE-2026-109618和CVE-2026-109619是PHP核心中的两个远程代码执行（RCE）漏洞。PHP安全团队于2026年10月20日在php.net发布预告，确认即将发布的安全更新将修复两个严重漏洞，两者CVSS v4.0评分均为9.2，并明确表示完整技术细节、受影响版本和修复版本将随2026年10月21日14:00 UTC（北京时间22:00）的正式发布一并公布。

据研究者发布的技术报告，漏洞初步指向位于PHP的会话上传进度处理：ext/session/session.c中的php\_session\_rfc1867\_callback()缓存了指向会话数据的指针，在同一次请求内会话状态再次初始化、旧数据被销毁后，回调仍引用已释放内存，形成堆use-after-free，可被进一步发展为远程代码执行。该处理发生在应用代码执行之前，可在未认证情况下触及；相关功能自PHP 5.4.0引入且默认开启。

已知利用条件与公开情况：

1、目标以Web方式运行PHP，session.upload\_progress.enabled处于开启状态（默认开启），且存在可访问的PHP脚本作为请求入口；上传进度处理发生在应用代码执行之前；

2、攻击者能够向目标发送特制的multipart/form-data POST请求，同时携带PHPSESSID、PHP\_SESSION\_UPLOAD\_PROGRESS表单字段与文件字段；本地验证表明，在use\_only\_cookies=1的配置下，仅凭multipart字段即可使服务器按指定ID创建会话文件，无需Cookie；

3漏洞编号

CVE-2026-109618、CVE-2026-109619

4漏洞等级

严重

5受影响版本

漏洞可能影响PHP 5及之后的所有版本，PHP当前受支持的分支为8.2、8.3、8.4和8.5

6修复建议

6.1 临时修复

PHP安全更新计划于2026年10月21日14:00 UTC（北京时间22:00）发布，在补丁发布前暂无经官方确认的修复版本或缓解措施。建议用户按以下顺序处置，并在补丁发布后立即升级至php.net公布的修复版本：

1、临时防护与监测：补丁发布前如无法停用相关服务，对无法立即修补的面向互联网应用考虑实施网络隔离；同时加强监测，关注Web服务器异常子进程、网站目录新增文件等可疑迹象。

2、临时缓解（初步措施，非官方修复）：如业务不使用上传进度功能，可关闭session.upload\_progress.enabled，以切断目前已知的主要触发路径；使用PHP-FPM时建议同时在池配置中以php\_admin\_flag锁定该设置，防止被.user.ini覆盖。

6.2 升级修复

PHP官方预告：https://www.php.net/archive/2026.php#2026-10-20-1

7声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。