注意!PHP惊现高危漏洞

RCE via OOM corruption (CVE-2026-109618)#

PHP 在处理内存耗尽（OOM）错误时，会通过 longjmp() 直接退出当前上下文。在部分场景下，请求相关的内存在完全初始化之前就已处于可访问状态，若此时发生内存分配失败，请求清理流程会将未初始化的无效数据当作有效数据处理。攻击者可构造包含大量请求头、嵌套字段名或空文件控件的 multipart 请求，在不超过 post_max_size 限制的情况下耗尽 memory_limit 触发 OOM，最终导致内存破坏和远程代码执行。Apache mod_php 等会无条件执行请求关闭流程的部署方式风险最高。

RCE via stale global state (CVE-2026-109619)#

PHP 工作进程会保留指向上一个请求内存的全局状态（如错误、会话、对象和扩展状态），但在请求内存释放前未将这些状态完全重置。同一工作进程处理下一个请求时，若部分输入解析、配置、会话或错误处理逻辑在请求正常初始化之前运行，就会访问这些残留的陈旧状态，造成释放后使用（Use-After-Free）。一定条件下，攻击者可借助两个先后到达同一工作进程的请求完成利用，实现内存信息泄露或远程代码执行。官方已确认 session.upload_progress（Session 上传进度）是其中一条可利用路径。

漏洞风险及等级#

高风险

未经身份验证的远程攻击者利用此漏洞可获得 Web 工作进程权限，可访问或篡改该账户可访问的数据或文件、植入恶意程序，并可能进一步导致服务器被完全接管、敏感数据泄露等影响。

有哪些版本不受影响?#

需要更新至最新修复补丁版本才能避免此次漏洞所带来的影响。

• PHP 8.2 用户需升级至 8.2.35 或以上
• PHP 8.3 用户需升级至 8.3.36 或以上
• PHP 8.4 用户需升级至 8.4.27 或以上
• PHP 8.5 用户需升级至 8.5.12 或以上

CVE-2026-109618#

暂无法升级时，可由管理员强制设置 memory_limit=-1，重启全部 PHP 工作进程并确认配置未被覆盖；同时在前端限制解码后的请求体大小、上传数量及输入复杂度，不使用 multipart 表单的应用可阻断此类请求。

取消内存上限需评估资源耗尽风险，且不应使用 RLIMIT_AS 或 RLIMIT_DATA 作为替代防护。

具体措施可参考：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

CVE-2026-109619#

暂无法升级时，可设置 session.upload_progress.enabled=0；

PHP 8.5 还可设置 fatal_error_backtraces=0 进行缓解，均需由管理员强制配置并重启全部工作进程。

PHP-FPM 可在评估性能影响后设置 pm.max_requests=1，减少跨请求状态复用。

具体措施可参考 ：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

本文参考链接:

• https://www.aliyun.com/notice/118746
• https://blog.naibabiji.com/skill/upgrade-php-environment.html
• https://docs.bt.cn/notices/php-nodejs-security-update-2026-10-21/
• https://docs.bt.cn/notices/php-security-protection-guide/