网络安全预警通报
2026年第3期
网络与计算中心 2026年10月22日
【预警类型】 高危预警
【预警内容】 PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)
一、预警描述
PHP（PHP: Hypertext Preprocessor）即“超文本预处理器”，是在服务器端执行的脚本语言，尤其适用于Web开发并可嵌入HTML中。PHP 语法学习了C语言，吸纳Java和Perl多个语言的特色发展出自己的特色语法，并根据它们的长项持续改进提升自己，例如java的面向对象编程，该语言当初创建的主要目标是让开发人员快速编写出优质的web网站。PHP 同时支持面向对象和面向过程的开发，使用上非常灵活。
二、漏洞危害
PHP 的会话上传进度机制(session.upload_progress)存在两个预认证远程代码执行漏洞(CVE-2026-109618/109619)。攻击者通过构造特制的文件上传请求，可利用该机制在内存异常耗尽和进程状态复位不彻底时的缺陷触发释放后重用，先泄露进程内存地址绕过地址随机化，再劫持程序执行流程，以 Web 服务权限执行任意命令，且可绕过 disable_functions；此外该机制还会不加过滤地将攻击者指定的会话 ID 与上传文件名写入会话文件，在特定配置的站点上可进一步触发反序列化代码执行。攻击不要求目标应用存在任何缺陷，任意 PHP 页面均在攻击面内。
三、受影响范围
目前受影响的PHP版本：
8.2.x <= PHP< 8.2.35
8.3.x <= PHP< 8.3.36
8.4.x <= PHP< 8.4.27
8.5.x <= PHP< 8.5.12
四、处置建议
官方修复建议
官方已发布修复补丁，请更新至最新版本。
PHP 8.5.12，PHP 8.4.27，PHP 8.3.36，PHP 8.2.35
下载地址：https://www.php.net/downloads.php
临时缓解措施
CVE-2026-109618：
在 FPM pool/服务器配置层取消 PHP 单请求内存上限（memory_
limit=-1），并排查各 pool、目录、应用配置是否有覆盖。
post_max_size 取保守值；反向代理/WAF 再单独限制解码后的请
求体大小。
收紧输入嵌套层级、变量数量、multipart 分段数、分段头数量和上
传文件数。
容器/cgroup 内存限制可作补充，但不要用RLIMIT_AS/RLIMIT_
DATA。
CVE-2026-109619：
在 php.ini 或 FPM pool 设置 session.upload_progress.enabled=0，
并重启全部 worker。
PHP 8.5 设置 fatal_error_backtraces=0。
减少攻击者可达的致命错误和可预测超时触发点。
性能允许时设 pm.max_requests=1，切断跨请求状态残留
内容 | 李昌
编辑 | 王彬
审核 | 陈兰
位置：
