一、漏洞概述

2026年10月21日，安全运营中心监测到PHP核心远程代码执行漏洞，漏洞编号：CVE-2026-109618、CVE-2026-109619，漏洞威胁等级：严重（CVSS v4.0评分9.2）。该漏洞原处于协调披露状态，2026年10月20日晚技术细节提前泄露，利用工具php2shell截图已流出，存在较大被攻击风险，截至发稿暂无公开在野利用报告。

二、漏洞详情

PHP核心存在两个远程代码执行漏洞，编号CVE-2026-109618与CVE-2026-109619，CVSS v4.0评分为9.2（Critical）。漏洞位于PHP解释器核心层，攻击发生在应用代码运行之前，WAF规则和业务层防护无法拦截。影响范围覆盖PHP 5.4.0起全部版本，波及量为PHP历史空前。所有运行PHP的Web服务器均在射程内，Magento、Shopware、WooCommerce等电商站是典型靶子，国内大量自建站、内部系统、API后端同样受影响，且漏洞不挑框架，WordPress、Laravel、Drupal等均无法通过应用层规避。

第三方研究指出漏洞涉及PHP multipart上传处理中未认证的远程代码执行路径，另有分析指向session.upload_progress处理函数（php_session_rfc1867_callback）中的堆释放后使用（Use-After-Free），被缓存的zval指针在释放后仍被引用，最终可达zend_call_function形成代码执行。完整技术成因与利用条件将在官方补丁发布时一并公开。PHP官方紧急安全更新定于2026年10月21日22:00（北京时间）发布，若细节扩散或出现攻击，补丁可能提前发布。

三、影响版本

PHP 5.4.0 起全部版本（以泄露利用工具口径为准，以官方补丁说明为准）

PHP 8.1 及更老版本无官方补丁，需升级至受支持版本（8.2及以上）

四、处置建议

（一）临时处置

1. 升级PHP至受支持版本：官方补丁于2026年10月21日22:00（北京时间）发布，发布后立即升级至PHP >= 8.2

2. 8.1及更老版本无官方补丁，处置只有三条：升级至受支持版本、暂时下线、或收进内网。

3. 升级不了的服务器先断开公网，并监控PHP进程树异常：php-fpm、php-cgi、httpd、apache2进程若异常拉起sh、bash、curl、wget、python、powershell等子进程，立即告警处置。

4. 托管在云厂商或虚拟主机上的，补丁发布后第一时间完成升级。

下载链接：https://www.php.net/downloads.php

（二）官方通告补丁

·PHP 官方公告：https://www.php.net/archive/2026.php

·CVE-2026-109618 / GHSA-w8hw-w9fx-j79w：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

·CVE-2026-109619 / GHSA-6wmf-4rv5-p3rp：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

·PoC 仓库（lab-assisted）：https://github.com/dinosn/php-cve-2026-10961x-lab-poc

·第三方分析（trigger）：https://github.com/Zer061/CVE-2026-109618