PHP发布安全更新 修复两个严重远程代码执行漏洞
PHP 8.2.35、8.3.36、8.4.27与8.5.12已修复CVE-2026-109618和CVE-2026-109619，mod_php环境风险最高，官方要求尽快升级。
PHP开发团队于2026年10月21日发布安全更新，修复两个被统称为PHP2Shell的严重漏洞，编号为CVE-2026-109618和CVE-2026-109619，并敦促用户立即打补丁。据dailysecu.com报道，两个漏洞在CVSS 4.0评分中均为9.2。
此次修复的版本为PHP 8.2.35、8.3.36、8.4.27和8.5.12。受影响的运行环境包括PHP-FPM、Apache mod_php、PHP-CGI、FrankenPHP和LiteSpeed，其中mod_php被列为风险最高的一项。
CVE-2026-109618出现在请求关闭阶段处理内存不足错误的过程中，可导致远程代码执行。PHP团队在标准mod_php配置下验证了无需认证即可通过HTTP请求执行代码，且发生在Web应用代码运行之前。CVE-2026-109619则涉及请求内存释放后残留的内部状态，工作进程在处理后续请求时仍可能引用该状态。
仅查看版本号不足以确认
官方指出，仅运行php -v并不足以确认已完成修补，因为Web服务可能使用另一版本的PHP-FPM或Apache模块。Ubuntu 24.04 LTS列出的已修复软件包版本为8.3.6-0ubuntu0.24.04.13。
缓解措施方面，将session.upload_progress.enabled设为0可阻断部分攻击路径，但无法覆盖所有变体；PHP 8.5中的fatal_error_backtraces=0也只是有限的缓解手段。
快速问答
PHP2Shell漏洞影响哪些版本？
受影响环境包括PHP-FPM、Apache mod_php、PHP-CGI、FrankenPHP和LiteSpeed，修复版本为PHP 8.2.35、8.3.36、8.4.27和8.5.12。
两个漏洞的严重程度如何？
CVE-2026-109618和CVE-2026-109619在CVSS 4.0评分中均为9.2，其中CVE-2026-109618可导致无需认证的远程代码执行。