一、背景介绍

近日，监测到PHP中存在的两个严重安全漏洞CVE-2026-109618、CVE-2026-109619，漏洞类型为远程代码执行，成因类别涉及代码注入与越界写。建议各单位尽快做好自查及防护。

1.1漏洞描述

PHP是一种广泛使用的开源服务器端脚本语言，主要用于Web开发，能够嵌入HTML并处理动态内容、数据库交互及会话管理，支持多种操作系统与Web 服务器，是大量内容管理系统、电商平台与Web框架的运行时基础。成功利用可在服务器上以PHP 服务进程账户权限执行任意代码，进而导致Web 服务器失陷、网站页面被篡改、业务数据与敏感信息泄露，并可能以内网可访问节点为跳板横向渗透。

1.2漏洞编号

CVE-2026-109618

CVE-2026-109619

1.3漏洞等级

高危

二、修复建议

2.1受影响的版本

PHP 5至PHP 8.5

2.2修复建议

针对PHP 8.1 及更早版本：PHP官方已停止支持，但部分发行版和长期支持（LTS）服务商可能为其提供安全补丁，请联系供应商确认修复情况，或升级到受支持的版本。

针对PHP 8.2 及其之后版本：PHP官方已发布安全更新版本及其补丁，具体如下：

PHP < 8.2.35（8.2 分支），升级至8.2.35 或该分支更新版本。

 PHP < 8.3.36（8.3 分支），升级至8.3.36 或该分支更新版本。

 PHP < 8.4.27（8.4 分支），升级至8.4.27 或该分支更新版本。

 PHP < 8.5.12（8.5 分支），升级至8.5.12 或该分支更新版本。

下载地址：

https://www.php.net/downloads.php

缓解措施：

1、针对CVE-2026-109618： 暂无法升级时，可由管理员强制设置memory_limit=-1，重启全部PHP 工作进程并确认配置未被覆盖；同时在前端限制解码后的请求体大小、上传数量及输入复杂度，不使用multipart 表单的应用可阻断此类请求。取消内存上限需评估资源耗尽风险，且不应使用RLIMIT_AS 或RLIMIT_DATA 作为替代防护。具体措施可参考https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w 

2、针对CVE-2026-109619： 暂无法升级时，可设置session.upload_progress.enabled=0；PHP 8.5 还可设置fatal_error_backtraces=0 进行缓解，均需由管理员强制配置并重启全部工作进程。PHP-FPM 可在评估性能影响后设置pm.max_requests=1，减少跨请求状态复用。具体措施可参考https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp