【安全通告】PHP项目“php2shell”远程代码执行漏洞通告（CVE-2026-109618、CVE-2026-109619）
灵梦云安全团队关注到 PHP 官方发布安全公告，披露了两个远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）。未经身份验证的远程攻击者可通过发送特制的 HTTP 请求（如 multipart POST 请求）触发内存破坏，在服务器上执行任意代码。漏洞在请求进入业务代码之前即可触发，一定条件下，PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等处理 Web 请求的部署方式将受影响。
请相关用户尽快排查业务中 PHP 的使用情况，若在影响范围内，建议第一时间完成更新或采取缓解措施。
漏洞详情
PHP 是一种开源的通用服务端脚本语言，被广泛用于 Web 网站和应用开发。
1.RCE via OOM corruption (CVE-2026-109618)
PHP 在处理内存耗尽（OOM）错误时，会通过 longjmp() 直接退出当前上下文。在部分场景下，请求相关的内存在完全初始化之前就已处于可访问状态，若此时发生内存分配失败，请求清理流程会将未初始化的无效数据当作有效数据处理。攻击者可构造包含大量请求头、嵌套字段名或空文件控件的 multipart 请求，在不超过 post_max_size 限制的情况下耗尽 memory_limit 触发 OOM，最终导致内存破坏和远程代码执行。Apache mod_php 等会无条件执行请求关闭流程的部署方式风险最高。
2.RCE via stale global state (CVE-2026-109619)
PHP 工作进程会保留指向上一个请求内存的全局状态（如错误、会话、对象和扩展状态），但在请求内存释放前未将这些状态完全重置。同一工作进程处理下一个请求时，若部分输入解析、配置、会话或错误处理逻辑在请求正常初始化之前运行，就会访问这些残留的陈旧状态，造成释放后使用（Use-After-Free）。一定条件下，攻击者可借助两个先后到达同一工作进程的请求完成利用，实现内存信息泄露或远程代码执行。官方已确认 session.upload_progress（Session 上传进度）是其中一条可利用路径。
风险等级
高风险
漏洞风险
未经身份验证的远程攻击者利用此漏洞可获得 Web 工作进程权限，可访问或篡改该账户可访问的数据或文件、植入恶意程序，并可能进一步导致服务器被完全接管、敏感数据泄露等影响。
影响版本
- · PHP < 8.2.35
- · 8.3.0 <= PHP < 8.3.36
- · 8.4.0 <= PHP < 8.4.27
- · 8.5.0 <= PHP < 8.5.12
安全版本
- · PHP 8.2.35
- · PHP 8.3.36
- · PHP 8.4.27
- · PHP 8.5.12
修复建议
1.官方已发布安全修复版本，请评估业务影响后尽快升级至对应分支的安全版本：
https://www.php.net/downloads.php
2.PHP 8.1 及更早版本已停止官方维护，不会发布新的正式版本。PHP 安全团队针对 PHP 7.4、8.0、8.1 提供了仅包含本次漏洞修复的源码补丁，可自行编译使用；也可联系操作系统发行版或 LTS 服务商获取已修复的软件包。建议尽快升级至仍在维护的 PHP 版本。
https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619
https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619
https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619
3.缓解措施（只能降低风险，不能完全替代漏洞修复，仍需尽快升级）：
（1）CVE-2026-109618： 暂无法升级时，可由管理员强制设置 memory_limit=-1，重启全部 PHP 工作进程并确认配置未被覆盖；同时在前端限制解码后的请求体大小、上传数量及输入复杂度，不使用 multipart 表单的应用可阻断此类请求。取消内存上限需评估资源耗尽风险，且不应使用 RLIMIT_AS 或 RLIMIT_DATA 作为替代防护。具体措施可参考：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
（2） CVE-2026-109619： 暂无法升级时，可设置 session.upload_progress.enabled=0；PHP 8.5 还可设置 fatal_error_backtraces=0 进行缓解，均需由管理员强制配置并重启全部工作进程。PHP-FPM 可在评估性能影响后设置 pm.max_requests=1，减少跨请求状态复用。具体措施可参考 ：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
4.如您使用宝塔面板搭建PHP项目，可直接使用以下修复包或安装命令
PHP8 宝塔的修复包
https://download.bt.cn/src/php-8.1.35.tar.gz
https://download.bt.cn/src/php-8.0.31.tar.gz
PHP7 宝塔的修复包
https://download.bt.cn/src/php-7.4.34.tar.gz
https://download.bt.cn/src/php-7.3.34.tar.gz
https://download.bt.cn/src/php-7.2.35.tar.gz
https://download.bt.cn/src/php-7.1.34.tar.gz
https://download.bt.cn/src/php-7.0.34.tar.gz
PHP5 宝塔的修复包
https://download.bt.cn/src/php-5.6.41.tar.gz
https://download.bt.cn/src/php-5.5.39.tar.gz
https://download.bt.cn/src/php-5.4.46.tar.gz
PHP8 和PHP7 已经上线到宝塔面板中 。PHP5 因宝塔官方业务进行测试。当前需要执行命令来更新
PHP 5.4 安装命令
curl -fL -o php5_cve.sh https://download.bt.cn/install/php5_cve.sh && bash php5_cve.sh install 54PHP 5.5 安装命令
curl -fL -o php5_cve.sh https://download.bt.cn/install/php5_cve.sh && bash php5_cve.sh install 55PHP 5.6 安装命令
curl -fL -o php5_cve.sh https://download.bt.cn/install/php5_cve.sh && bash php5_cve.sh install 56漏洞参考链接
https://www.php.net/archive/2026.php
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
https://avd.aliyun.com/detail?id=AVD-2026-109618
灵梦云安全团队
