近日监测到 PHP 存在两处高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，代号“php2shell”）。攻击者可能构造恶意请求触发漏洞，进而执行任意代码并控制服务器。

修复方案：

在打补丁或升级PHP版本期间，请保持防火墙防护处于启用状态，尽可能的减少暴露风险，但这些措施不能替代 PHP 修复。

如您的业务使用 PHP，请尽快开展安全自查，并按以下要求升级：

PHP 8.2：升级至 8.2.35 或更高版本
　　PHP 8.3：升级至 8.3.36 或更高版本
　　PHP 8.4：升级至 8.4.27 或更高版本
　　PHP 8.5：升级至 8.5.12 或更高版本
　　PHP 8.1 及更早版本：已停止支持，请升级至受支持的最新版本
　　如确认处于影响范围，请及时升级修复；暂时无法升级的，请先采取官方缓解措施，降低被攻击风险。

立非公司已经第一时间联系各私有化部署客户完成更新工作，请我公司客户放心。

严重PHP session.upload_progress 远程代码执行漏洞（CVE-2026-109618）

CVE编号

CVE-2026-109618

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2026-10-21

漏洞描述

PHP是一款广泛使用的开源服务器端脚本语言，大量网站与应用基于其构建。2026年10月21日，PHP官方发布安全更新，披露其内存耗尽(OOM)错误处理机制中存在堆内存释放后重用漏洞。当请求启动阶段解析
multipart
文件上传等输入的过程中发生内存耗尽时，错误处理机制通过longjmp提前退出当前上下文，而请求内存此时处于尚未完全初始化的临时可达状态，相关状态未被正确清理，请求关闭流程随后读取或基于该无效状态进行处理。未经身份验证的远程攻击者可发送特制的文件上传请求触发该漏洞，导致内存信息泄露并以Web进程权限执行任意代码，造成服务器失陷。成功利用要求攻击请求到达同一
worker 进程，利用可靠性依赖于 PHP
构建、扩展、前端行为与内存分配器布局。受影响版本:8.2.35、8.3.36、8.4.27、8.5.12之前的所有版本(官方补丁仅覆盖8.2-8.5受支持分支,更早版本已停止维护)。

解决建议

                       
                           针对 PHP 8.1 及更早版本：
PHP官方已停止支持，但部分发行版和长期支持（LTS）服务商可能为其提供安全补丁，请联系供应商确认修复情况，或升级到受支持的版本。

针对 PHP 8.2 及其之后版本，PHP官方已发布安全更新版本及其补丁，具体如下：
PHP < 8.2.35（8.2 分支），升级至 8.2.35 或该分支更新版本。
PHP < 8.3.36（8.3 分支），升级至 8.3.36 或该分支更新版本。
PHP < 8.4.27（8.4 分支），升级至 8.4.27 或该分支更新版本。
PHP < 8.5.12（8.5 分支），升级至 8.5.12 或该分支更新版本。

在打补丁或升级PHP版本期间，请保持防火墙IPS防护模块防护处于启用状态，尽可能的减少暴露风险，但这些措施不能替代 PHP 修复。

暂无法升级时，可由管理员强制设置
memory_limit=-1，重启全部 PHP 工作进程并确认配置未被覆盖；同时在前端限制解码后的请求体大小、上传数量及输入复杂度，不使用
multipart 表单的应用可阻断此类请求。取消内存上限需评估资源耗尽风险，且不应使用 RLIMIT_AS 或 RLIMIT_DATA
作为替代防护。