PHP 未授权 RCE 双洞 CVE-2026-109618 与 CVE-2026-109619 处置提示

这周漏洞情报里最该盯的就是 PHP 这一批。10 月 21 日 PHP 官方一次性发了四个安全版本，修的是两个能未授权远程执行代码的洞，CVSS v4.0 都给到 9.2。



我一开始以为又是某个扩展的问题，翻了官方 advisory 才看出来是解释器内核，出在两处：一处是内存耗尽（OOM）时内部请求数据只初始化了一半，清理阶段把无效数据当成有效数据用了；另一处是请求所属的内部状态在内存释放之后还活着，同一个 worker 处理下一个请求时把这份过期状态用了。官方原话是 “can allow unauthenticated remote code execution”，不需要登录，也不需要应用层本身有漏洞。

受影响范围官方写得很直接：所有处理 Web 请求的 PHP 安装都算，PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 全在内。风险最高的是 mod_php，攻击请求在应用代码跑起来之前就能触发。

修复版本（2026-10-21 发布）：

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

对应的受影响分支是：8.5.12 之前的 8.5.x、8.4.27 之前的 8.4.x、8.3.36 之前的 8.3.x、8.2.35 之前的 8.2.x。8.1 及更早已经 EOL，官方只给 7.4 / 8.0 / 8.1 出了最小源码 backport 分支，方便自己编译的人。

自查一条命令就够：

php -v

看回显头部那个版本号，对着上面四个数比一遍。要注意 CLI 和 FPM 的版本可能不是同一个，别只看 CLI：

php-fpm -v

想从外面看也行，但不一定准：

curl -sI https://your-site/ | grep -i x-powered-by

很多生产环境关了 expose_php，没有回显不代表安全，最后还是以 php-fpm -v 为准。

临时缓解，官方说得很明确：“没有完整缓解，升级是唯一安全的选择”，但给了几条能拖时间的配置。

CVE-2026-109618 这条：把 memory_limit 设成 -1，最好用 php_admin_value 写进 FPM pool 或 Apache 配置，让应用自己改不回去；再把 post_max_size 压下来，不做上传的站设 8M，需要上传的设 32M，注意 upload_max_filesize 必须小于 post_max_size。

CVE-2026-109619 这条：把 session.upload_progress.enabled 设成 0，然后重启所有 worker。必须走 php.ini 或者 pool 配置，ini_set() 和 .user.ini 不管用，因为这项要赶在请求解析之前生效。跑 PHP 8.5 的再加一条 fatal_error_backtraces=0。

10 月 23 日官方又补了一个通告，说 session.upload_progress.enabled=0 这个设置建议一直留到下一个常规 bugfix 版本，因为它同时覆盖了新编号 CVE-2026-115560 的一条不太可能走通的 RCE 路径。之前已经设过的人不用再动。

说句实在的：能升就立刻升，升不了就按上面两条配置先压住，然后尽快排升级窗口。这类不需要认证、还是在应用代码执行之前触发的洞，拖不了。

来源：

1. PHP 官方安全公告 Critical remote code execution vulnerabilities（2026-10-21）
https://www.php.net/archive/2026.php#2026-10-21-5

2. 同页 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 各版本发布说明，以及 2026-10-23 的 Session upload progress 补充通告

3. 国家信息安全漏洞共享平台 CNVD-2026-41674、CNVD-2026-41675，评级“高危”
https://www.cnvd.org.cn

4. 山西网信网转载 CNVD 安全公告（2026-10-22）
http://www.casx.gov.cn/content/2026-10/22/content_13703762.htm

5. GitHub Security Advisory：GHSA-w8hw-w9fx-j79w（CVE-2026-109618）、GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）

真实性核对说明：CVE 编号、CVSS 9.2 评分、四个修复版本号、影响分支范围、缓解配置项，均以 PHP 官方归档页原文为准；CNVD 转载公告给出的受影响版本范围（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 之前）与官方一致，评级“高危”与官方 CVSS 9.2 方向一致。两处来源在“未认证 RCE、影响 8.2–8.5 分支、mod_php 风险最高”这几点上没有冲突。

HKTULU
2026-10-25