PHP远程代码执行漏洞预警

一、概要

近日，华为云关注到官方披露PHP远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）。由于 PHP 在处理内存溢出（OOM）及异常中断时，未能妥善清理或重置内存状态，未经身份验证的远程攻击者可利用该漏洞，在目标服务器上以 Web 服务进程权限执行任意代码。目前该漏洞已发现在野攻击利用，风险高。

1.PHP 远程代码执行漏洞（CVE-2026-109618）：

该漏洞源于 PHP 在应对内存溢出（OOM）时使用 longjmp() 强行中断请求，导致内存未能正确清理而残留损坏状态。攻击者可利用构造的恶意 Multipart 表单数据（如超量 Header、嵌套字段或未指定内容长度的数据）在特定阶段触发 OOM。当 PHP 执行请求关闭程序并处理上述损坏的内存结构时，可被利用以实现任意代码执行。

2.PHP 远程代码执行漏洞（CVE-2026-109619）：

由于部分全局状态在请求结束后未能正确重置或被意外重新填充，导致其指向已释放的请求内存。在处理后续请求时，PHP 会在初始化前读取或基于该过期状态进行操作，引发释放后使用。最终导致远程代码执行（RCE）。

PHP是一种广泛使用的开源服务器端脚本语言，该语言主要面向Web应用开发，并支持直接嵌入HTML文档中执行。华为云提醒用户及时安排自检并做好安全加固。

参考链接：

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

二、威胁级别

威胁级别：【严重】

（说明：威胁级别共四级：一般、重要、严重、紧急）

三、漏洞影响范围

影响版本：

PHP < 8.2.35