关于PHP远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）的预警提示

一、漏洞详情

PHP是一种广泛使用的开源服务器端脚本语言，主要用于Web应用与动态网站开发，是内容管理系统、电商、论坛、控制面板及各类业务系统的常见运行环境。

近日，监测到官方修复PHP远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），两个漏洞均与PHP请求生命周期边界上的状态管理缺陷有关：CVE-2026-109618利用内存耗尽（OOM）时的longjmp()提前退出，使尚未完成初始化的请求内存在request shutdown阶段被错误消费；CVE-2026-109619利用worker全局状态在请求结束后未正确重置，使后续请求在正常初始化之前访问已释放的请求内存。攻击者无需认证，通过构造恶意HTTP请求即可触发释放后重用（UAF），进而实现内存泄露和远程代码执行。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

PHP < 8.2.35

PHP < 8.3.36

PHP < 8.4.27

PHP < 8.5.12

仍在维护的分支：

PHP 8.5、8.4、8.3仍处于现行维护期，应优先升级到对应修复版本或更高版本。8.2.35是当前可用的修复版本，也是8.2分支最后的升级时间窗口之一；建议尽快规划升级到8.3或更高版本。

已停止维护的分支：

PHP 8.1、8.0、7.4及更早版本已停止官方支持，PHP官方不再发布修复版本。

PHP ≤ 7.3 / 5.x已停止维护，官方不提供修复版本，应优先升级。

其他受影响组件：以PHP为运行时的应用、框架与建站系统可能间接受影响，涉及WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal等，以及mod_php、PHP-FPM（含 Docker PHP-FPM 镜像）等部署形态。

三、修复建议

官方已发布安全补丁，请及时更新版本：

PHP 8.5.12

PHP 8.4.27

PHP 8.3.36

PHP 8.2.35