【漏洞通告】PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)

深瞳漏洞实验室
深瞳漏洞实验室

深信服千里目安全技术中心

2026年10月21日 17:47
北京

去阅读

漏洞名称：

PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)

组件名称：

PHP

影响范围：

PHP

漏洞类型：

代码执行

利用条件：

1、用户认证：否

2、前置条件：未确认，具体条件待官方技术细节公布后确认

3、触发方式：远程

综合评价：

<综合评定利用难度>：未确认。

<综合评定威胁等级>：严重，能造成远程代码执行。

官方解决方案：

未发布

漏洞分析

组件介绍

PHP（PHP: Hypertext Preprocessor）即“超文本预处理器”，是在服务器端执行的脚本语言，尤其适用于Web开发并可嵌入HTML中。PHP语法学习了C语言，吸纳Java和Perl多个语言的特色发展出自己的特色语法，并根据它们的长项持续改进提升自己，例如java的面向对象编程，该语言当初创建的主要目标是让开发人员快速编写出优质的web网站。 PHP同时支持面向对象和面向过程的开发，使用上非常灵活。

漏洞简介

2026年10月21日，深瞳漏洞实验室监测到一则PHP组件存在代码执行漏洞的信息，漏洞编号：CVE-2026-109618、CVE-2026-109619，漏洞威胁等级：严重。

CVE-2026-109618 与 CVE-2026-109619 是 PHP 语言核心中两个可被远程利用的严重漏洞，CERT-EU 已发布警报并将两者定性为未经身份验证的远程代码执行，CVSS v4.0 评分均为 9.2，成因类别涉及代码注入（CWE-94）与越界写（CWE-787）。

官方目前未披露任何技术细节；综合公开研究信息推断，攻击面大概率位于会话上传进度（session upload progress）处理路径，即 ext/session/session.c 中的 php\_session\_rfc1867\_callback 回调：该机制在解析 multipart/form-data 请求的过程中会多次重建会话数据，若缓存于处理上下文中的进度指针未随原有数据结构的销毁而失效，即形成释放后使用（use-after-free），攻击者可通过特制的分段低速上传请求触发内存破坏，进而可能实现任意代码执行。该功能自 PHP 5.4 起默认启用，且相关处理发生在应用脚本运行之前，因此应用层登录校验或业务本身不提供上传功能均不能构成免疫，默认配置下网络可达的 PHP 服务普遍处于暴露范围。

现有研究已能实证进程崩溃与拒绝服务效果，完整代码执行链条还需满足针对目标具体构建的符号定制、堆布局及地址泄露等前置条件。上述成因分析、两个 CVE 与漏洞类别的对应关系均未经官方确认，准确信息以 PHP 官方后续安全公告及修复差异为准。

影响范围

截至本通告撰写时，PHP 官方尚未公布两个漏洞各自的准确影响版本、配置要求及修复版本。

公开研究信息表明，此漏洞可能涉及多个PHP分支。

解决方案

官方修复建议

PHP 官方计划于 2026年10月21日22:00（北京时间）发布安全更新。关注PHP官方安全更新，更新发布后，根据官方公告升级至明确修复漏洞的 PHP 版本。
如出现技术细节提前公开或实际利用证据，官方可能提前发布。

临时修复建议

• 重点关注 PHP 工作进程的成簇异常退出，对异常请求完整留存样本与日志，便于事后排查和溯源。

• 在 php.ini 或 php-fpm 池配置中设置 session.upload\_progress.enabled = Off，随后重载 php-fpm（或重启 Web 服务）使其生效。

• 对非必须互联网可达的 PHP 系统（后台、老业务、内部工具）实施访问控制、白名单或 VPN 接入。

• 关闭未使用的功能模块，减少潜在攻击入口。

参考链接

https://www.php.net/archive/2026.php#2026-10-20-1

时间轴

2026/10/21

深瞳漏洞实验室监测到PHP 远程代码执行漏洞信息。

2026/10/21

深瞳漏洞实验室发布漏洞通告。

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。