PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）通告
内容提要
绿盟科技发布通告，披露PHP两个高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，CVSS评分9.2）：一是内存耗尽（OOM）时longjmp提前跳出请求初始化流程，二是worker全局状态未复位导致释放后使用（UAF）。未认证攻击者可构造multipart请求触发内存破坏，导致进程崩溃，在mod_php等运行形态下可执行任意代码。漏洞细节及部分PoC已公开，并已发现在野利用。受影响版本为PHP ≤8.5.11、8.4.26、8.3.35、8.2.34，波及WordPress等应用。建议升级至8.5.12、8.4.27、8.3.36、8.2.35，或采取关闭会话上传进度、设置pm.max_requests=1、部署WAF拦截等临时缓解措施。
延伸解读
漏洞利用条件与真实风险
通告指出，实现远程代码执行需同时满足同worker、精确堆布局、libphp.so偏移、地址泄漏等条件，利用门槛较高。但未经认证的攻击者仍可构造multipart请求触发内存破坏，导致工作进程崩溃，在mod_php等部署形态下还可能以Web服务账户权限执行任意代码。漏洞细节与部分PoC已公开，且已发现在野利用，说明实际威胁并非理论。
影响范围与优先排查对象
受影响版本涵盖PHP 5.4至8.5，包括8.5.11、8.4.26、8.3.35、8.2.34及更早版本，波及WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等应用。通告建议优先关注mod_php、PHP-FPM等部署形态，并全面清点主机与容器实例，监控PHP工作进程异常崩溃、警告/弃用、扩展清理诊断、致命错误等日志。
临时缓解措施的局限
官方已发布修复版本，升级至8.5.12、8.4.27、8.3.36、8.2.35是根本措施。临时措施包括关闭会话上传进度、设置pm.max_requests=1、用WAF拦截异常multipart请求等，但通告明确这些仅减少部分路径风险，不能替代升级。其中pm.max_requests=1可能影响性能，需在性能允许时使用。
Q&A
PHP远程代码执行漏洞CVE-2026-109618和CVE-2026-109619的CVSS评分是多少？危害有多大？
CVSS评分为9.2，属于高危漏洞。攻击者利用后可造成PHP工作进程崩溃，并可在Apache mod_php等部署形态下以Web服务账户权限执行任意代码。
这两个PHP漏洞的成因分别是什么？
CVE-2026-109618：PHP使用longjmp()处理内存溢出（OOM）错误时可能提前跳出请求初始化，导致请求关闭流程处理尚未完全初始化的无效内存状态。CVE-2026-109619：worker进程中的全局状态（错误、会话、扩展等）在请求结束后未被正确复位，后续请求在初始化前访问指向已释放请求内存的陈旧指针，造成释放后重用（UAF）。
哪些PHP版本受CVE-2026-109618和CVE-2026-109619影响？
受影响版本包括：PHP <= 8.5.11、PHP <= 8.4.26、PHP <= 8.3.35、PHP <= 8.2.34。影响范围涵盖PHP 5.4至8.5，但PHP 5、7、8.0、8.1等分支已停止维护。不受影响版本为PHP >= 8.5.12、8.4.27、8.3.36、8.2.35。
攻击者如何触发这两个PHP漏洞？需要认证吗？
未经身份验证的攻击者可通过构造特制multipart请求精确制造OOM，或利用默认开启的会话上传进度等路径组成跨请求利用链触发内存破坏，从而造成PHP工作进程崩溃，并可在Apache mod_php等部署形态下执行任意代码。
目前有哪些临时缓解措施可以防范这两个PHP漏洞？
临时措施包括：1）PHP-FPM可设置memory_limit=-1；mod_php可关闭会话上传进度与fatal backtrace（session.upload_progress.enabled=0，PHP 8.5可设fatal_error_backtraces=0），并重启工作进程；2）性能允许时设置pm.max_requests=1，使worker每处理一个请求即回收；3）通过WAF拦截异常multipart/form-data请求；4）排查受影响资产并监控日志。注意这些措施仅减少部分路径风险，不能替代升级。
如何彻底修复这两个PHP远程代码执行漏洞？
官方已发布新版本修复漏洞，请升级至PHP 8.5.12、8.4.27、8.3.36或8.2.35。下载链接：https://github.com/php/php-src/releases。
这两个PHP漏洞是否已被在野利用？PoC是否公开？
根据通告，漏洞细节与部分PoC已公开，且已发现在野利用。
哪些应用或部署形态受这两个PHP漏洞影响较大？
影响范围涉及WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等应用组件，优先关注mod_php、PHP-FPM等部署形态。
