【在野利用】PHP Core 远程代码执行漏洞（CVE-2026-109618/109619）

长亭安全课堂 · 2026-10-23 18:36 · 27 阅读

长亭安全应急响应中心 2026-10-23 18:36 浙江

检测业务是否受到此漏洞影响，请联系长亭应急服务团队！

php2shell：PHP Core 远程代码执行漏洞风险提示

PHP 是一款开源的通用脚本语言，主要用于 Web 后端开发与服务端动态页面生成，广泛应用于内容管理系统、电商、论坛、网盘及各类自建 Web 业务系统，WordPress、Drupal、Joomla、MediaWiki 等主流应用均以其作为运行基础。

2026 年 10 月，长亭安全应急响应中心监测到 PHP 远程代码执行利用代码公开和在野利用，攻击者无需认证即可通过构造特定 HTTP 请求读取进程内存并执行任意代码。长亭应急响应中心已完成针对 WordPress、MediaWiki、Roundcube Webmail、phpmyadmin等主流应用的未授权远程代码执行验证。建议使用受影响 PHP 版本的用户尽快确认资产暴露面，并升级至官方安全版本。

漏洞描述 Description

漏洞成因

PHP Core 在处理请求期间，若内存分配失败或发生其他致命错误，部分内部状态的清理与回滚可能未完成。缺陷位于 PHP Core 本身，不依赖上层应用代码。

漏洞影响

攻击者可在无需认证的情况下读取 PHP 进程内存，在已验证的利用链中，攻击者可进一步在受影响服务器上执行任意代码，导致服务器被完全控制、页面被篡改或业务数据被窃取。缺陷位于 PHP 引擎层，不依赖上层应用自身的代码，默认配置下即存在可利用路径。

处置优先级：高

漏洞类型： 远程代码执行

漏洞危害等级： 高

触发方式： 网络远程

权限认证要求： 无需权限

系统配置要求： 默认配置

用户交互要求： 无需用户交互

利用成熟度： POC/EXP 已公开

修复复杂度： 低，官方已提供修复方案

影响版本 Affects

PHP 5.4.0 - 8.2.34
PHP 8.3.0 - 8.3.35
PHP 8.4.0 - 8.4.26
PHP 8.5.0 - 8.5.11

解决方案 Solution

升级修复方案

官方已在各维护分支发布修复版本，建议升级至以下版本或更高：

PHP 8.5.12：https://www.php.net/releases/8_5_12.php
PHP 8.4.27：https://www.php.net/releases/8_4_27.php
PHP 8.3.36：https://www.php.net/releases/8_3_36.php
PHP 8.2.35：https://www.php.net/releases/8_2_35.php

升级后重启 PHP-FPM 与 Web 服务，替换残留旧 worker。

临时缓解方案

以下方案为应急临时措施，可能影响业务功能，升级完成后应及时移除。

PHP-FPM 部署：关闭会话上传进度功能（session.upload_progress.enabled=0），并将 memory_limit 设为 -1。
Apache mod_php 部署：将 memory_limit 设为 -1。
在边界防护设备或 WAF 上拦截异常 multipart 请求，并收敛不必要的上传入口。