安全预警 | PHP2Shell 近几年最严重的远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)

近日，PHP 官方发布CVE-2026-109618、CVE-2026-109619安全公告，两个漏洞均被评定为CVSS v4.0 9.2（严重），社区将这组漏洞命名为PHP2Shell。目前相关PoC和技术细节已公开，知其安离朱已完成相关复现并转化为验证用例。

两个漏洞均与PHP请求生命周期中的内存状态管理缺陷有关：CVE-2026-109618 利用内存耗尽（OOM）处理过程中的 longjmp() 提前退出机制，使请求内部状态未能正确完成初始化或清理，导致后续请求关闭阶段可能错误访问相关内存；CVE-2026-109619 则利用请求结束后未正确重置的全局状态，使后续请求在正常初始化之前访问已释放的请求内存。攻击者可构造特定HTTP请求触发释放后使用（UAF）等内存安全问题，在满足相应利用条件时实现远程代码执行。

影响范围 受影响版本： • PHP 8.2.x < 8.2.35 • PHP 8.3.x < 8.3.36 • PHP 8.4.x < 8.4.27 • PHP 8.5.x < 8.5.12

相关部署形态： 使用PHP作为运行环境的应用及服务均需排查，包括 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等，以及Apache mod_php、PHP-FPM和相关Docker镜像。上述应用并非因此均存在独立漏洞，实际风险取决于PHP版本、运行模式及相关配置。

风险说明 漏洞被利用后，攻击者可能以Web服务进程权限执行任意命令，进一步读取应用源码、配置文件及数据库凭据，并利用被控制的服务开展后续攻击。

目前公开PoC已展示相关漏洞的利用方式。建议重点关注异常multipart请求、PHP或Web服务进程异常退出、异常子进程创建，以及Web目录和临时目录中的可疑文件。

处置建议 PHP 官方已发布修复版本，建议尽快升级： • 8.2.x 升级至 8.2.35 或更高版本； • 8.3.x 升级至 8.3.36 或更高版本； • 8.4.x 升级至 8.4.27 或更高版本； • 8.5.x 升级至 8.5.12 或更高版本。

临时缓解措施

暂无法立即升级时，可先采取以下措施降低风险： 1.限制互联网对相关服务的直接访问，优先排查公网暴露的PHP 实例。 2.对不需要文件上传的接口限制multipart请求，并结合 WAF 策略拦截异常请求。 3.对启用Session上传进度功能的环境，可评估关闭 session.upload_progress.enabled ，降低相关利用路径的风险。该措施不能替代官方修复 。4.检查PHP工作进程异常退出、异常子进程及可疑文件写入情况，发现异常后及时开展排查。上述措施只能降低部分风险，不能替代官方修复。建议尽快升级至修复版本。