漏洞概述

PHP官方近期放出安全更新，披露两组远程代码执行漏洞，编号 CVE-2026-109618、CVE-2026-109619。攻击者无需登录验证，只需要构造特殊的HTTP请求就能触发内存异常，拿到权限在服务器执行代码。

请求还没进到业务代码阶段就有被利用的可能，PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed这些常见Web运行模式，都有受影响的概率。各位站长尽快自查PHP版本，及时升级或者配置临时防护。

漏洞细节说明

影响范围与安全版本

受影响版本：

• PHP 版本低于 8.2.35
• 8.3.0 ≤ PHP 版本 ＜ 8.3.36
• 8.4.0 ≤ PHP 版本 ＜ 8.4.27
• 8.5.0 ≤ PHP 版本 ＜ 8.5.12

安全修复版本：

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

修复方案与临时缓解配置

✅ 优先方案：评估业务兼容性，升级到上方安全版本。官方下载：https://www.php.net/downloads.php

📌 老旧版本提示：PHP 8.1及更早版本官方已经停止常规维护，不会发布完整新版。官方只放出了单独补丁包，适合自己编译PHP的用户。有条件尽量迁移到还在持续维护的PHP版本。

⚠️ 缓解配置仅缩小攻击面，不能替代版本升级：

• CVE-2026-109618：设置 memory_limit=-1，重启PHP进程；前端控制请求、上传复杂度，无关业务拦截multipart请求。关闭内存限制需留意资源跑满风险。
• CVE-2026-109619：关闭 session.upload_progress.enabled=0；PHP-FPM可设置 pm.max_requests=1，需要评估站点性能影响。

参考链接

• PHP官方公告
• GHSA-w8hw-w9fx-j79w
• GHSA-6wmf-4rv5-p3rp