成功利用可在服务器上以 PHP 服务进程账户权限执行任意代码。
本站可能会提前停机以避免被攻陷。
https://www.secrss.com/articles/94899
近日，CERT-EU 已就 PHP 中存在的两个严重安全漏洞 CVE-2026-109618、CVE-2026-109619 发布警报，官方给出的 CVSS 评分为 9.2，漏洞类型为远程代码执行，成因类别涉及代码注入与越界写（CWE-94、CWE-787）。公开研究信息提示，漏洞影响可能涉及多个 PHP 历史分支（PHP 5 至 PHP 8.5）；有研究人员初步将相关攻击面指向 PHP 会话上传进度（session upload progress）处理路径，涉及 php_session_rfc1867_callback 函数（ext/session/session.c），并怀疑该路径存在释放后使用（use-after-free）类内存破坏问题。上述分析及其与两个 CVE 的具体对应关系尚未获得 PHP 官方确认，准确影响版本、配置要求与修复版本仍以官方安全公告为准。由于会话上传进度功能自 PHP 5.4 引入且默认开启，其处理发生在应用脚本执行之前，若该攻击面得到确认，影响面将覆盖大量默认配置的 PHP 部署环境。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
https://www.php.net/archive/2026.php#2026-10-20-1
2026年10月20日
即将发布重要的 PHP 安全更新
PHP 安全团队特此提前预告，即将发布一个重要的安全更新。
该更新计划于 2026 年 10 月 21 日（周三）14:00 UTC 发布。
此次更新旨在修复两个严重漏洞，这两个漏洞的 CVSS v4.0 评分均为 9.2。
建议所有 PHP 用户提前做好准备，以便在更新发布后第一时间进行升级。
若上述漏洞的详细信息被公开，或出现实际利用这些漏洞的证据，我们保留提前发布更新的权利。
完整的漏洞详情、受影响的版本以及修复后的版本信息，将在更新发布时一并公布。
感谢您为维护 PHP 的安全性所提供的支持。
漏洞细节和补丁已公开，本站已升级到PHP 8.2.35。
通过 OOM 损坏实现 RCE（CVE-2026-109618，GHSA-w8hw-w9fx-j79w）：内存外处理可能在内部请求数据仅部分初始化时中断 PHP。请求清理时可能会将无效数据视为有效。
通过陈旧全局状态实现 RCE （CVE-2026-109619，GHSA-6wmf-4rv5-p3rp）：请求拥有的内部状态在其备份内存被释放后仍可存活。 同一工作者处理的后续请求可能会在正常初始化重置前使用该过时状态。