PHP 核心高危远程代码执行漏洞
官方来源：php.net/index.php#2026-10-21-5
发布团队：PHP 开发团队与安全团队（The PHP Group）
发布时间：2026-10-21 14:00 UTC（北京时间 22:00）
通告全文翻译
PHP 安全团队现正式发布安全公告，宣布修复影响 PHP 核心的两个严重漏洞。这两个漏洞均允许未经身份验证的远程攻击者在目标服务器上执行任意代码（Pre-Auth RCE）。
在 CVSS v4.0 评分标准下，这两个漏洞的严重程度评分均为 9.2 分（极度危险 / Critical）。
鉴于针对该漏洞的技术细节与验证代码（PoC）此前已在公开渠道提前流出，且当前网络上针对该漏洞的自动化探测与利用威胁极高，PHP 团队强烈建议所有运行 PHP 的系统管理员与用户立即升级到今天发布的最新安全修复版本。
一、 漏洞详情与编号
1. CVE-2026-109618（GHSA-w8hw-w9fx-j79w）
● 类型：内存耗尽（OOM）数据损坏导致远程代码执行
● 描述：当 PHP 在处理内部请求且相关结构仅完成部分初始化时发生内存耗尽（Out-of-Memory），内存分配中断会导致请求清理流程出现错误，将未初始化的非法内存视作合法对象与数据进行解析和销毁，进而引发任意代码执行。
2. CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）
● 类型：陈旧全局状态（Stale Global State）残留导致远程代码执行
● 描述：某个 Web 请求所拥有的内部全局状态在对应的内存被释放后依然存在并发生残留。当同一个 Worker 进程接管后续请求时，该陈旧状态可能在被常规流程重置前即被复用并处理，从而导致未授权状态污染与代码执行。
二、 受影响的部署环境
本次漏洞影响所有用于对外提供 Web 请求服务的 PHP 安装环境，包括：
● PHP-FPM
● Apache mod_php（由于其多线程/进程特性，受威胁评级最高）
● FrankenPHP
● LiteSpeed
● php-cgi
注：由于该漏洞在请求到达应用程序代码层之前便在 PHP 引擎底层触发，因此单纯依赖应用程序层面的代码修改无法抵御攻击。
三、 官方已发布的修复版本
官方已在下载中心与源码仓库同步上线了以下维护分支的安全修复补丁版本：
● PHP 8.5 系列：已发布 8.5.12
● PHP 8.4 系列：已发布 8.4.27
● PHP 8.3 系列：已发布 8.3.36
● PHP 8.2 系列：已发布 8.2.35
各版本的源码包、Windows 二进制文件及签名文件均已在 PHP 官方下载中心上线。
四、 已停更版本（EOL）说明
PHP 8.1、8.0 以及 PHP 7.x、5.x 均已处于生命周期终止（End of Life, EOL）状态，PHP 官方不会为这些分支发布官方预编译二进制包或常规维护版本。
为减轻对广泛遗留系统的冲击，安全团队在官方 Git 仓库中为需要自编译的用户及第三方 Linux 长期支持（LTS）发行版维护者提供了针对部分旧版本的最小反向移植补丁（Backport Patches）。
尽管 PHP 安全团队为自行编译源码的用户以及 Linux LTS 发行版维护者提供了最小化的 Backport 补丁，但官方强烈敦促所有用户尽快将环境升级迁移至受支持的 PHP 8.2+ 分支。
官方强烈敦促所有仍在使用 EOL 版本的用户尽快规划并迁移至官方受支持的活跃版本。
五、 操作指引与行动清单
1. 立即执行更新：通过系统的包管理器（如 apt-get、dnf / yum）或重新拉取最新构建的基础 Docker 镜像进行更新。
2. 务必重启进程：更新底层二进制后，必须重启 Web 服务器及 PHP 处理进程（例如：systemctl restart php-fpm 或 systemctl restart apache2），使内存中常驻的旧版工作进程彻底退出并加载修补后的新版本。
六、 相关链接与参考资料
PHP 官方安全通告原文：
https://www.php.net/index.php#2026-10-21-5
PHP 官方下载中心：
https://www.php.net/downloads.php
PHP 各版本修复发布说明：
PHP 8.5.12 Release Notes:
https://www.php.net/index.php#2026-10-21-1
PHP 8.4.27 Release Notes:
https://www.php.net/index.php#2026-10-21-2
PHP 8.3.36 Release Notes:
https://www.php.net/index.php#2026-10-21-3
PHP 8.2.35 Release Notes:
https://www.php.net/index.php#2026-10-21-4
GitHub Advisory Database 安全建议：
CVE-2026-109618:
https://github.com/advisories/GHSA-w8hw-w9fx-j79w
CVE-2026-109619:
https://github.com/advisories/GHSA-6wmf-4rv5-p3rp
快速行动吧！日本首相都发话了
高市早苗
@takaichi_sanae
关注
翻译自日语 显示原文
各位，这是今晚需要大家紧急应对的重大请求。
许多网站使用的PHP语言，PHP安全团队已就两
项严重漏洞发布注意提醒。
请确认您公开的网站是否使用PHP，并为今晚(日本时间)10月21日下午11时发布的修复补丁做好准备，以便尽快应用。
如果难以迅速应用修复补丁，例如临时停止网站等，也可视为降低风险的有效措施之一。
国家网络统筹室X账号也会发布相关信息，请一并参考。
国家网络统筹室(注意·警戒信息)
(@cyberforecast) /X
26年10月21日,20:55·5.6M查看次数
