PHP官方披露两个高危远程代码执行漏洞，阿里云安全发布预警
阿里云安全监测到 PHP 官方发布安全公告，披露了两个严重的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）。未经身份验证的远程攻击者可通过发送特制的 HTTP 请求（如 multipart POST 请求）触发内存破坏，进而在服务器上执行任意代码。该漏洞在请求进入业务代码之前即可触发，影响范围涵盖 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等多种 Web 请求处理部署方式。
建议相关用户立即排查业务中 PHP 的使用情况，若处于影响范围内，请尽快完成版本更新或采取缓解措施。
漏洞详情
PHP 是一种广泛应用于 Web 网站和应用开发的开源通用服务端脚本语言。本次披露的两个漏洞详情如下：
1. OOM 内存破坏导致远程代码执行 (CVE-2026-109618)
PHP 在处理内存耗尽（OOM）错误时，会通过 longjmp() 直接退出当前上下文。在部分场景下，若请求相关的内存在完全初始化之前发生内存分配失败，请求清理流程会将未初始化的无效数据当作有效数据处理，导致内存破坏。
攻击者可构造包含大量请求头、嵌套字段名或空文件控件的 multipart 请求，在不超过 post_max_size 限制的情况下耗尽 memory_limit 以触发 OOM，最终实现远程代码执行。其中，Apache mod_php 等会无条件执行请求关闭流程的部署方式风险最高。
2. 陈旧全局状态导致远程代码执行 (CVE-2026-109619)
PHP 工作进程会保留指向上一个请求内存的全局状态（如错误、会话、对象和扩展状态），但在释放请求内存前未将这些状态完全重置。当同一工作进程处理下一个请求时，若部分输入解析、配置、会话或错误处理逻辑在请求正常初始化之前运行，就会访问这些残留的陈旧状态，造成释放后使用（Use-After-Free）漏洞。
在一定条件下，攻击者可借助两个先后到达同一工作进程的请求完成利用，实现内存信息泄露或远程代码执行。官方已确认 session.upload_progress（Session 上传进度）是其中一条可利用路径。
风险等级与影响
风险等级：高风险
漏洞危害：未经身份验证的远程攻击者利用此漏洞可获得 Web 工作进程权限，进而访问或篡改该账户可访问的数据或文件、植入恶意程序，甚至可能导致服务器被完全接管及敏感数据泄露。
影响版本与安全版本
受影响版本：
- PHP < 8.2.35
- 8.3.0 <= PHP < 8.3.36
- 8.4.0 <= PHP < 8.4.27
- 8.5.0 <= PHP < 8.5.12
安全版本：
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
修复建议
1. 升级至安全版本：官方已发布安全修复版本，请评估业务影响后尽快升级至对应分支的安全版本。下载地址：https://www.php.net/downloads.php
2. 老旧版本处理：PHP 8.1 及更早版本已停止官方维护，不会发布新的正式版本。PHP 安全团队针对 PHP 7.4、8.0、8.1 提供了仅包含本次漏洞修复的源码补丁，用户可自行编译使用，或联系操作系统发行版及 LTS 服务商获取已修复的软件包。建议尽快升级至仍在维护的 PHP 版本。
相关补丁源码地址：
3. 临时缓解措施：缓解措施只能降低风险，不能完全替代漏洞修复，仍需尽快升级。若您部署了阿里云 WAF 或云防火墙，请保持防护处于启用状态，并尽可能减少风险暴露。
参考链接
- PHP 官方公告归档
- GitHub Advisory GHSA-w8hw-w9fx-j79w
- GitHub Advisory GHSA-6wmf-4rv5-p3rp
- 阿里云漏洞库 AVD-2026-109618
阿里云安全团队