一、漏洞概要

二、漏洞分析

2.1 组件介绍

PHP（PHP: Hypertext Preprocessor）即“超文本预处理器”，是在服务器端执行的脚本语言，尤其适用于Web开发并可嵌入HTML中。PHP语法学习了C语言，吸纳Java和Perl多个语言的特色发展出自己的特色语法，并根据它们的长项持续改进提升自己，例如java的面向对象编程，该语言当初创建的主要目标是让开发人员快速编写出优质的web网站。 PHP同时支持面向对象和面向过程的开发，使用上非常灵活。

2.2 漏洞描述

2026年10月21日，深瞳漏洞实验室监测到一则PHP组件存在代码执行漏洞的信息，漏洞编号：CVE-2026-109618、CVE-2026-109619，漏洞威胁等级：严重。

CVE-2026-109618 与 CVE-2026-109619 是 PHP 语言核心中两个可被远程利用的严重漏洞，CERT-EU 已发布警报并将两者定性为未经身份验证的远程代码执行，CVSS v4.0 评分均为 9.2，成因类别涉及代码注入（CWE-94）与越界写（CWE-787）。官方目前未披露任何技术细节；综合公开研究信息推断，攻击面大概率位于会话上传进度（session upload progress）处理路径，即 ext/session/session.c 中的 php_session_rfc1867_callback 回调：该机制在解析 multipart/form-data 请求的过程中会多次重建会话数据，若缓存于处理上下文中的进度指针未随原有数据结构的销毁而失效，即形成释放后使用（use-after-free），攻击者可通过特制的分段低速上传请求触发内存破坏，进而可能实现任意代码执行。该功能自 PHP 5.4 起默认启用，且相关处理发生在应用脚本运行之前，因此应用层登录校验或业务本身不提供上传功能均不能构成免疫，默认配置下网络可达的 PHP 服务普遍处于暴露范围。现有研究已能实证进程崩溃与拒绝服务效果，完整代码执行链条还需满足针对目标具体构建的符号定制、堆布局及地址泄露等前置条件。上述成因分析、两个 CVE 与漏洞类别的对应关系均未经官方确认，准确信息以 PHP 官方后续安全公告及修复差异为准。

三、影响范围

截至本通告撰写时，PHP 官方尚未公布两个漏洞各自的准确影响版本、配置要求及修复版本。

官方修复建议

官方已发布修复补丁，请更新至最新版本。

PHP 8.5.12，PHP 8.4.27，PHP 8.3.36，PHP 8.2.35