通告对象：使用 PHP 运行时提供互联网服务的系统运维与安全团队

涉及漏洞：CVE-2026-109618、CVE-2026-109619

核心风险：CVSS v4.0 9.2，未经身份认证的远程代码执行（RCE）

修复状态：官方修复版本已于 2026 年 10 月 21 日发布，需立即升级

漏洞描述：

CVE-2026-109618 与 CVE-2026-109619 是 PHP 核心中的两个严重远程代码执行漏洞。CERT-EU 安全公告确认，两个漏洞的 CVSS v4.0 评分均为 9.2，表明存在未经身份认证远程执行代码的潜在风险。watchTowr 安全团队已确认二者均为 PHP 中的真实 RCE 漏洞。公开研究信息提示，成因类别涉及代码注入与越界写（CWE-94、CWE-787），攻击面可能指向 PHP 会话上传进度处理路径（session.upload_progress），涉及 php_session_rfc1867_callback 函数，怀疑存在释放后使用（use-after-free）类内存破坏问题，但该分析尚未获 PHP 官方最终确认。

关键风险点在于：如果该攻击面成立，漏洞触发发生在应用脚本执行之前，这意味着应用层 WAF 规则、业务代码校验乃至基于 PHP 的防护组件（如 Sansec Shield）都可能在漏洞触发时尚未运行。修复必须在 PHP 运行时层面完成，不能仅通过修改应用代码解决。

影响范围：

受影响版本：根据公开报告，PHP 5.4 及以上所有版本均可能受影响，包括 PHP 8.2、8.3、8.4、8.5 的当前版本（8.5.11、8.4.26、8.3.35、8.2.34 均在修复发布前发布，不包含修复）。CERT-EU 公告进一步指出影响可追溯至 PHP 5 起。

受影响的部署形态：以 PHP 为运行时的 Web 应用与建站系统，包括但不限于 WordPress、Drupal、Magento、Laravel、Symfony、phpBB、MediaWiki；部署方式涵盖 mod_php、PHP-FPM（含 Docker PHP-FPM 镜像）以及共享主机环境。如果运行在 PHP 5、PHP 7、PHP 8.0 或 8.1 等已停止支持的版本上，将无法获得官方修复，风险尤为突出。

处置建议

1、紧急升级（首选措施）

PHP 官方已发布修复版本。预期修复版本为：PHP 8.5.12、8.4.27、8.3.36、8.2.35（以 PHP 官方安全公告实际发布为准）。

升级操作要求：

1. 定位所有 PHP 实例：逐个清点服务器、容器镜像、虚拟机及第三方设备中内嵌的 PHP 运行时，记录版本号（可通过 php -v 获取）。

2. 升级至修复版本：根据业务所运行的 PHP 分支，分别升级至 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，并确认升级后版本号与官方修复版本一致。

3. 重启服务进程：升级完成后，重启 PHP-FPM 池与 Web 服务器进程，确保新运行时生效；对于容器化部署，需重新构建镜像并滚动更新。

4. 验证生效：通过实际请求确认运行中的 PHP 版本已更新，不能仅以文件替换完成作为依据。

使用操作系统发行版、托管服务或云厂商提供的 PHP 时，应立即向供应商确认其已包含上述修复版本的安全更新，并按其指引完成升级与重启。PHP 8.1 及更早版本不会获得官方修复，必须迁移至受支持的 PHP 8 分支，或确认供应商已提供回移补丁。

2、升级前的临时缓解（仅限无法立即升级的场景）

如果因业务约束无法在修复发布后立即完成升级，应在升级窗口前采取以下临时缓解措施，但不得以缓解措施替代最终升级：

· 禁用 session.upload_progress：将 session.upload_progress.enabled 设置为 0。该设置可在一定程度上减少攻击面，但 PHP 官方尚未确认其对该漏洞的完整防护效果。

· 启用严格会话模式：将 session.use_strict_mode 设置为 1。需注意，若应用使用自定义会话处理器且未实现会话 ID 校验，该措施可能不生效。

· 收缩网络暴露面：对非公开的 PHP 应用，限制为仅可信网络或管理网络可访问；对无法及时升级的互联网暴露 PHP 应用，评估临时隔离或下线处置。

· PHP-FPM 特殊注意：上述会话配置需应用于每一个 serving pool，并 reload worker 后通过实际请求验证生效配置。

3、修复后的“假定失陷”检查

由于该漏洞为未经认证的 RCE，且信息在官方修复发布前已提前泄露，修复发布后存在被快速利用的现实可能。完成 PHP 运行时升级后，建议立即开展以下检查：

· 排查 Web 服务器进程是否在非预期路径下启动了子进程（如 /bin/sh、curl、wget 等异常派生）；

· 检查 Web 根目录及可写目录中是否出现新近创建或修改的可疑文件（webshell 常见落地位置）；

· 审阅 Web 访问日志中是否存在针对 session.upload_progress 参数或异常 multipart 请求的可疑探测行为；

· 对曾暴露在互联网且未能及时升级的 PHP 实例，考虑按已失陷开展凭据轮换与主机取证。

时间线

时间 事件

2026-10-20 PHP 安全团队提前发布安全发布预告；同日漏洞信息在 Hacker News 等渠道泄露，watchTowr 确认漏洞真实性

2026-10-21 14:00 PHP 官方计划发布修复版本（发布后应立即升级）

当前状态：官方修复已发布，所有受影响 PHP 实例应视为处于可被利用窗口内，请立即执行升级。

参考来源

1. CERT-EU Security Advisory 2026-018, Critical Vulnerabilities in PHP.

2. 奇安信安全风险通告，《PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)》，2026-10-21.

3. Sansec, Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619, 2026-10-21.

4. Beazley Security Labs, Critical Remote Code Execution Vulnerabilities in PHP (CVE-2026-109618 & CVE-2026-109619), Advisory BSL-A1233.

5. Mallory, CVE-2026-109618 vulnerability page / PHP Expedites Fixes, 2026-10-20/21.

6. PHP 官方安全发布预告：https://www.php.net/archive/2026.php#2026-10-20-1（修复版本与完整技术细节以该公告为准）。