安全通告
PHP2Shell远程代码执行漏洞
发布日期：2026-10-22
[2026]014号
漏洞描述
2026年10月22日监测发现，PHP官方发布8.5.12、8.4.27、8.3.36和8.2.35四个安全版本，修复PHP核心层两处远程代码执行漏洞，编号分别为CVE-2026-109618与CVE-2026-109619，漏洞代号php2shell。官方已在Apachemod_php环境中通过HTTP请求验证未认证远程代码执行，其中CVE-2026-109619在PHP-FPM环境下同样验证成功。由于缺陷位于PHP运行时内核而非某一应用组件，WordPress、Laravel等主流CMS与框架，以及全部以PHP承载的Web业务均处于影响范围之内。
- CVE-2026-109618（OOM处理缺陷）：PHP在内存不足（OOM）时可能残留无效的请求状态，后续请求的清理过程访问该状态，从而触发远程代码执行。
- CVE-2026-109619（全局状态残留）：PHP的部分全局状态未被正确重置，或在重置后被再次写入，导致同一工作进程在处理后续请求时访问已释放的请求内存，形成释放后使用（Use-After-Free），进而造成远程代码执行。
两处漏洞均属请求内存的生命周期管理缺陷：前者出现在OOM异常路径的状态清理环节，后者出现在请求间全局状态的重置时机。其共同点是攻击者无需任何凭证，仅通过构造HTTP请求即可触发，且触发依赖同一进程内的请求状态复用——这意味着PHP-FPM、mod_php等长驻型运行方式风险最高，调整工作进程数量并不能消除风险，仅按请求重建进程（如pm.max_requests=1）可有效收窄触发面，但不能替代补丁。
PHP是目前部署最广泛的开源服务端脚本语言，其核心层（php-src）缺陷会同时影响所有以PHP运行的站点与框架，这也是本漏洞影响面远超单一应用漏洞的原因。OOM（OutOfMemory，内存不足）指PHP触及memory_limit上限时的内存耗尽状态。Use-After-Free（释放后使用）属高危内存破坏类型，指程序释放内存对象后未置空、代码仍继续引用该内存，攻击者可借此操控已被释放的内存。multipart/form-data是HTTP中承载表单与文件上传的请求体编码格式，空文件名（filename=””）属RFC7578允许的合法形态，常用于表达“未选择文件”的字段；session.upload_progress是PHP的上传进度跟踪机制，会在请求处理期间按上传标识维护共享状态。PHP-FPM与Apachemod_php是两种常见的PHP运行方式，均以常驻工作进程处理连续请求，同一进程内的请求状态复用正是本漏洞得以触发的前提。
漏洞危害
未经身份验证的远程攻击者可利用该漏洞在目标服务器上执行任意代码，进而读取或篡改业务数据、植入后门，并以Web服务进程权限向内网横向渗透，实现服务器完全接管。
漏洞等级
严重
受影响版本
PHP8.5.x：<8.5.12
PHP8.4.x：<8.4.27
PHP8.3.x：<8.3.36
PHP8.2.x：<8.2.35
PHP8.1及更早版本：官方已停止支持，同样受该漏洞影响
修复方案
官方已发布安全修复版本，请评估业务兼容性后尽快升级至对应安全版本及以上：
PHP<8.2.35（8.2分支）：升级至8.2.35或该分支更新版本
PHP<8.3.36（8.3分支）：升级至8.3.36或该分支更新版本
PHP<8.4.27（8.4分支）：升级至8.4.27或该分支更新版本
PHP<8.5.12（8.5分支）：升级至8.5.12或该分支更新版本
PHP8.1及更早版本官方已停止支持、不再发布安全版本，但部分发行版与长期支持（LTS）服务商可能另行提供安全补丁，请联系供应商确认修复情况，或升级至受支持版本；若须自行构建，官方提供了仅供自行编译的最小backport分支（见参考链接）。
在完成打补丁或升级之前，请保持WAF、云防火墙IPS等边界防护模块处于启用状态，以尽可能减少暴露风险，但此类措施不能替代PHP自身的修复。
【临时缓解措施】
暂无法立即升级时，可先采取以下措施降低风险：
对于PHP-FPM，禁用会话上传进度session.upload_progress.enabled=0并进行设置memory_limit=-1。
对于mod_php，设置memory_limit=-1。
这些更改无法完全取代补丁，并且设置memory_limit=-1会移除PHP的内存限制，增加内存耗尽的风险，建议最好通过升级的方式来缓解漏洞。
【参考链接】
https://www.php.net/archive/2026.php#2026-10-21-5
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp