PHP 2026 年 10 月严重漏洞事件
事件概述
2026 年 10 月 21 日，PHP 发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619。两个漏洞的 CVSS v4.0 评分均为 9.2，可能导致未经身份验证的远程代码执行。
漏洞机制与影响
- CVE-2026-109618：内存耗尽导致的内部状态损坏。 请求数据尚未初始化完成时发生内存耗尽，清理过程可能错误地使用这些数据。
- CVE-2026-109619：残留全局状态。 请求相关内存释放后，其内部状态可能继续存在，并被同一工作进程处理的后续请求使用。
官方将处理 Web 请求的 PHP 安装列为风险范围，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。mod_php 被列为风险最高的部署方式，已有未经登录、在应用代码执行前触发攻击的演示。具体可利用性仍与部署方式和触发条件有关，不能据此认定每个 PHP 网站已经被攻陷。
修复版本
| PHP 分支 | 本次修复版本 |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
使用发行版或长期支持供应商提供的 PHP 时，应核对其安全公告与回补补丁，不能只凭上游版本号判断是否修复。PHP 8.1 及更早分支已结束上游常规支持；官方针对本次事件另外提供了 7.4、8.0、8.1 的最小源码回补，这不代表恢复常规支持。
处理建议
- 盘点实际处理网站请求的 PHP 运行环境，优先处理公网服务；命令行 PHP 与网站运行环境可能不同。
- 安装对应分支的安全更新，或供应商确认包含修复的补丁包，并按部署方式重启或重新部署相关工作进程。
- 核实网站实际使用的运行环境已经加载修复，并检查访问日志及异常行为。更新 WordPress、Laravel 等应用或依赖不能替代 PHP 运行环境更新。
- 无法及时升级时，依据官方公告评估临时缓解及服务暴露范围。官方明确说明，临时措施只能减少部分攻击路径，不能提供完整修复。