【漏洞通告】PHP远程代码执行漏洞（CVE-2026-109618&CVE-2026-109619）

NS-CERT
NS-CERT

绿盟科技CERT

2026年10月21日 17:49
四川

去阅读

通告编号 NS-2026-0025

2026-10-21

1

漏洞概述

近日，绿盟科技CERT监测到网上披露了PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）；由于PHP Core的session上传进度处理机制存在内存管理缺陷，在multipart请求解析过程中触发多次会话状态切换导致对象释放后重用（Use-After-Free），未经身份验证的攻击者可通过构造特制的multipart请求触发内存破坏，从而造成进程崩溃甚至可以PHP服务账户权限执行任意代码。CVSS评分9.2，目前已有漏洞细节披露，请相关用户尽快采取措施开展自查与防护。

PHP是一种广泛使用的开源服务器端脚本语言，主要用于Web应用与动态网站开发，代码可以直接嵌入到HTML中，支持数据库交互、会话管理及文件上传等，是全球众多Web应用程序的基础支撑环境。

参考链接：

https://www.php.net/archive/2026.php

SEE MORE →

2影响范围

受影响版本：

• PHP <= 8.5.11

• PHP <= 8.4.26

• PHP <= 8.3.35

• 5.4 <= PHP <= 8.2.34

涉及WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等应用组件。

注：影响范围可能涵盖PHP 5.x-PHP 8.5（具体版本以官方公告为准），PHP 5、7、8.0、8.1等分支版本已停止维护。

不受影响版本：

• PHP >= 8.5.12

• PHP >= 8.4.27

• PHP >= 8.3.36

• PHP >= 8.2.35

3漏洞检测

3.1 版本检测

相关用户可通过查看PHP的版本来判断应用是否在受影响范围内：

若当前版本在受影响范围内，则可能存在安全风险。

4漏洞防护

4.1 官方升级

PHP官方计划于2026年10月21日22:00（北京时间）发布安全更新，请受影响的用户密切关注PHP官方安全公告，并在新版本发布后尽快进行升级，下载链接：https://www.php.net/downloads.php

4.2 临时防护措施

1、关闭会话上传进度功能：若业务实际未使用文件上传进度跟踪功能，可在php.ini、.user.ini或.htaccess中禁用（设置session.upload\_progress.enabled = Off），并重启PHP-FPM或Web服务器；

2、启用严格会话模式：设置session.use\_strict\_mode = 1，降低攻击者指定任意会话ID的风险；

3、排查受影响资产：全面清点运行PHP 5到PHP 8.5版本的各类主机与容器实例，密切监控Web服务与PHP的运行日志，重点关注PHP工作进程的异常崩溃、频繁退出、异常子进程创建或非预期文件写入行为。

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

绿盟科技CERT∣微信公众号

长按识别二维码，关注网络安全威胁信息