PHP远程代码执行漏洞(CVE-2026-109618/CVE-2026-109619)补丁将于今晚22点公开

成功利用可在服务器上以 PHP 服务进程账户权限执行任意代码。

本站可能会提前停机以避免被攻陷。

https://www.secrss.com/articles/94899

近日，CERT-EU 已就 PHP 中存在的两个严重安全漏洞 CVE-2026-109618、CVE-2026-109619 发布警报，官方给出的 CVSS 评分为 9.2，漏洞类型为远程代码执行，成因类别涉及代码注入与越界写（CWE-94、CWE-787）。公开研究信息提示，漏洞影响可能涉及多个 PHP 历史分支（PHP 5 至 PHP 8.5）；有研究人员初步将相关攻击面指向 PHP 会话上传进度（session upload progress）处理路径，涉及 php_session_rfc1867_callback 函数（ext/session/session.c），并怀疑该路径存在释放后使用（use-after-free）类内存破坏问题。上述分析及其与两个 CVE 的具体对应关系尚未获得 PHP 官方确认，准确影响版本、配置要求与修复版本仍以官方安全公告为准。由于会话上传进度功能自 PHP 5.4 引入且默认开启，其处理发生在应用脚本执行之前，若该攻击面得到确认，影响面将覆盖大量默认配置的 PHP 部署环境。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

https://www.php.net/archive/2026.php#2026-10-20-1

2026年10月20日
即将发布重要的 PHP 安全更新
PHP 安全团队特此提前预告，即将发布一个重要的安全更新。

该更新计划于 2026 年 10 月 21 日（周三）14:00 UTC 发布。

此次更新旨在修复两个严重漏洞，这两个漏洞的 CVSS v4.0 评分均为 9.2。

建议所有 PHP 用户提前做好准备，以便在更新发布后第一时间进行升级。

若上述漏洞的详细信息被公开，或出现实际利用这些漏洞的证据，我们保留提前发布更新的权利。

完整的漏洞详情、受影响的版本以及修复后的版本信息，将在更新发布时一并公布。

感谢您为维护 PHP 的安全性所提供的支持。