漏洞概述 | |||
漏洞名称 | PHP 远程代码执行漏洞 | ||
漏洞编号 | CVE-2026-109618、CVE-2026-109619 | ||
公开时间 | 2026-10-21 | 影响量级 | 千万级 |
奇安信评级 | 高危 | CVSS 4.0分数 | 9.2 |
威胁类型 | 代码执行 | 利用可能性 | 高 |
POC状态 | 未公开 | 在野利用状态 | 未发现 |
EXP状态 | 未公开 | 技术细节状态 | 未公开 |
危害描述：成功利用可在服务器上以 PHP 服务进程账户权限执行任意代码，进而导致 Web 服务器失陷、网站页面被篡改、业务数据与敏感信息泄露，并可能以内网可访问节点为跳板横向渗透。 | |||
01
漏洞详情
>>>>
影响组件
PHP 是一种广泛使用的开源服务器端脚本语言，主要用于 Web 开发，能够嵌入 HTML 并处理动态内容、数据库交互及会话管理，支持多种操作系统与 Web 服务器，是大量内容管理系统、电商平台与 Web 框架的运行时基础。
>>>>
漏洞描述
近日，CERT-EU 已就 PHP 中存在的两个严重安全漏洞 CVE-2026-109618、CVE-2026-109619 发布警报，官方给出的 CVSS 评分为 9.2，漏洞类型为远程代码执行，成因类别涉及代码注入与越界写（CWE-94、CWE-787）。公开研究信息提示，漏洞影响可能涉及多个 PHP 历史分支（PHP 5 至 PHP 8.5）；有研究人员初步将相关攻击面指向 PHP 会话上传进度（session upload progress）处理路径，涉及 php_session_rfc1867_callback 函数（ext/session/session.c），并怀疑该路径存在释放后使用（use-after-free）类内存破坏问题。上述分析及其与两个 CVE 的具体对应关系尚未获得 PHP 官方确认，准确影响版本、配置要求与修复版本仍以官方安全公告为准。由于会话上传进度功能自 PHP 5.4 引入且默认开启，其处理发生在应用脚本执行之前，若该攻击面得到确认，影响面将覆盖大量默认配置的 PHP 部署环境。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
>>>>
利用条件
需要能够访问运行受影响版本 PHP 的 Web 服务；具体触发条件待官方技术细节公布后确认。仅依赖应用层登录校验或未提供上传功能页面，不能据此认定系统不受影响。
02
影响范围
>>>>
影响版本
PHP 5 至 PHP 8.5（截至本通告撰写时，官方尚未公布两个漏洞各自的准确影响版本、配置要求及修复版本）。
>>>>
其他受影响组件
以 PHP 为运行时的应用、框架与建站系统可能间接受影响，涉及 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal 等，以及 mod_php、PHP-FPM（含 Docker PHP-FPM 镜像）等部署形态。
03
处置建议
>>>>
安全更新
关注 CERT-EU 及 PHP 官方安全更新（PHP Security Release for CVE-2026-109618 and CVE-2026-109619）。PHP 官方计划于 2026 年 10 月 21 日 22:00（北京时间）发布安全更新，并同步公布漏洞详情、影响范围与修复版本；如技术细节提前公开或出现实际利用证据，官方可能提前发布。
更新发布后，应立即依据官方公告升级至明确修复上述漏洞的 PHP 版本。使用操作系统发行版、容器镜像或托管服务提供的 PHP 时，应采用供应商标注已修复相关 CVE 的安全更新；更新后按供应商要求重启或替换服务进程，并确认所有业务实例均运行修复后的 PHP 版本。
临时缓解措施：
1.清点对外提供服务的 PHP 主机与容器实例，建立版本台账，优先处置直接暴露于互联网的 Web 服务。
2.对公网暴露的 PHP 业务系统加强访问控制与 WAF 防护，收敛不必要的外部可达接口与调试入口。
3.遵循最小权限原则运行 PHP 服务进程，限制其可写目录与可执行目录，降低代码执行成功后的影响。
4.检查 Docker PHP-FPM 镜像及开发、测试、生产环境的 PHP 版本一致性，避免遗漏仍在运行旧版本的容器或环境。
5.加强 Web 服务日志与主机行为监测，重点关注 Web 进程的异常子进程创建、非预期文件写入及可疑外联行为。
06
参考资料
[1]https://note.com/zenkok/n/n9550d4455982
声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
