漏洞概述

近日，PHP Core 曝出两处严重远程代码执行漏洞，编号为 CVE-2026-109618、CVE-2026-109619。当前PHP 官方尚未发布完整技术细节、明确受影响版本与修复版本，但已确认漏洞为严重远程代码执行（RCE）漏洞。

现有外部分析显示，PHP Core 的session.upload_progress 会话上传进度处理机制存在堆释放后重用（UAF）缺陷，该功能默认启用，无需业务代码参与即可触发，可能会导致进程崩溃甚至实现远程代码执行。

漏洞等级

高危

影响范围

若完整利用链达成，攻击者可在PHP 进程权限下执行任意代码，可能导致服务器被完全控制、敏感数据泄露、业务中断，或被用于部署WebShell、建立持久化访问及向内网横向移动。

受影响对象为部署PHP 环境的业务服务器、Web 应用系统。因PHP官方暂未公布明确受影响版本，暂无法精准划定版本区间。

安全建议

修复版本以官方发布为准（https://www.php.net/archive/2026.php），PHP 8.1 及更早版本已停止支持，应尽快迁移或下线隔离。

以下方案为应急临时措施，可能影响业务功能，升级完成后应及时评估是否保留。

1、若业务不使用上传进度条，在 php.ini、.user.ini或.htaccess中设置session.upload_progress.enabled = Off，并重新加载PHP-FPM 或 Web 服务器。该措施可切断本次已验证的中途session 生命周期路径，但不能替代官方补丁。

2、在 WAF、反向代理或网关层收紧对multipart/form-data 请求的检查与速率限制，重点保护不需要文件上传的业务端点；相关限制可能影响正常上传业务。

3、启用 session.use_strict_mode = 1，降低攻击者指定任意会话ID 的风险；审计会话包装类与自定义 save handler的重入风险，避免在清理路径中重入sessionAPI。

4、对 PHP 8.1 及更早的停止支持版本，采取下线、网络隔离、VPN或白名单访问等措施，直至完成迁移。

5、监控 PHP 工作进程异常退出、Web 服务器崩溃日志，以及 PHP进程启动的异常子进程和异常文件写入，保留Web 服务器与 PHP日志。