PHP远程代码执行漏洞CVE
PHP 远程代码执行漏洞
CVE-2026-109618、CVE-2026-109619
2026-10-21
奇安信评级
CVSS 4.0分数
利用可能性
POC状态
在野利用状态
EXP状态
技术细节状态
危害描述： 一旦利用成功，攻击者能以 PHP 服务进程账户的权限在服务器上执行任意代码，从而造成 Web 服务器失陷、网站页面被篡改、业务数据与敏感信息泄露，还可能以内网可访问节点为跳板实施横向渗透。
> > > >
PHP 是一种应用广泛的开源服务器端脚本语言，主要面向 Web 开发，可嵌入 HTML，并处理动态内容、数据库交互及会话管理，支持多种操作系统与 Web 服务器，是大量内容管理系统、电商平台与 Web 框架的运行时基础。
> > > >
近日，CERT-EU 针对 PHP 中的两个严重安全漏洞 CVE-2026-109618、CVE-2026-109619 发布警报，官方 CVSS 评分为 9.2，漏洞类型为远程代码执行，成因类别涉及代码注入与越界写（CWE-94、CWE-787）。公开研究信息显示，漏洞影响可能波及多个 PHP 历史分支（PHP 5 至 PHP 8.5）；有研究人员初步将相关攻击面指向 PHP 会话上传进度（session upload progress）处理路径，涉及 php_session_rfc1867_callback 函数（ext/session/session.c），并怀疑该路径存在释放后使用（use-after-free）类内存破坏问题。上述分析及其与两个 CVE 的具体对应关系尚未得到 PHP 官方确认，准确影响版本、配置要求与修复版本仍以官方安全公告为准。由于会话上传进度功能自 PHP 5.4 引入且默认开启，其处理发生在应用脚本执行之前，若该攻击面得到确认，影响面将覆盖大量默认配置的 PHP 部署环境。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
> > > >
需要能够访问运行受影响版本 PHP 的 Web 服务；具体触发条件待官方技术细节公布后确认。仅依赖应用层登录校验或未提供上传功能页面，不能据此认定系统不受影响。
> > > >
PHP 5 至 PHP 8.5（截至本通告撰写时，官方尚未公布两个漏洞各自的准确影响版本、配置要求及修复版本）。
> > > >
其他受影响组件
以 PHP 为运行时的应用、框架与建站系统可能间接受影响，涉及 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal 等，以及 mod_php、PHP-FPM（含 Docker PHP-FPM 镜像）等部署形态。
> > > >
关注 CERT-EU 及 PHP 官方安全更新（PHP Security Release for CVE-2026-109618 and CVE-2026-109619）。PHP 官方计划于 2026 年 10 月 21 日 22:00（北京时间）发布安全更新，并同步公布漏洞详情、影响范围与修复版本；如技术细节提前公开或出现实际利用证据，官方可能提前发布。
更新发布后，应立即依据官方公告升级至明确修复上述漏洞的 PHP 版本。使用操作系统发行版、容器镜像或托管服务提供的 PHP 时，应采用供应商标注已修复相关 CVE 的安全更新；更新后按供应商要求重启或替换服务进程，并确认所有业务实例均运行修复后的 PHP 版本。
临时缓解措施：
1.清点对外提供服务的 PHP 主机与容器实例，建立版本台账，优先处置直接暴露于互联网的 Web 服务。
2.对公网暴露的 PHP 业务系统加强访问控制与 WAF 防护，收敛不必要的外部可达接口与调试入口。
3.遵循最小权限原则运行 PHP 服务进程，限制其可写目录与可执行目录，降低代码执行成功后的影响。
4.检查 Docker PHP-FPM 镜像及开发、测试、生产环境的 PHP 版本一致性，避免遗漏仍在运行旧版本的容器或环境。
5.加强 Web 服务日志与主机行为监测，重点关注 Web 进程的异常子进程创建、非预期文件写入及可疑外联行为。
[1]https://note.com/zenkok/n/n9550d4455982
声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
来源：安全内参安全资讯；原文日期：2026-10-20。内容经中文改写，请以原文为准。
(责任编辑：数字安全观察)
