PHP高危CVE-2026-109618、CVE-2026-109619漏洞 ·半日闲

PHP 核心曝高危 RCE 漏洞，官方官方定于 10 月 21 日 22:00（UTC+8）发布安全更新。

PHP 官方团队宣布发布补丁，修复影响其核心解释器的两处高危远程代码执行漏洞（CVE-2026-109618 与 CVE-2026-109619，CVSS 9.2）。影响范围涵盖自 PHP 5.4 起的所有历史与现代版本，包括 PHP 5.x、7.x、8.0 至 8.5 等分支，且攻击在业务框架代码执行前即可触发。

官方仅为受支持分支（PHP 8.2、8.3、8.4、8.5）提供修复更新；停更（EOL）版本无法获得官方补丁，需立即收敛公网访问或实施网络隔离以防利用攻击。

PHP8.2及以上更新

官方已发布的安全版本是：

PHP 8.2 → 8.2.35
PHP 8.3 → 8.3.36
PHP 8.4 → 8.4.27
PHP 8.5 → 8.5.12

PHP8.1及以下

关闭会话上传进度
在 php.ini 或 FPM pool 里设置：

session.upload_progress.enabled = Off
session.use_strict_mode = 1
session.use_only_cookies = 1

或加固 FPM pool

php_admin_flag[session.upload_progress.enabled] = off
php_admin_value[session.use_strict_mode] = 1
php_admin_value[session.use_only_cookies] = 1

改完后必须重启 PHP-FPM / Apache。

限制请求体积和字段数量
```
post_max_size = 8M
upload_max_filesize = 2M
```
或在nginx前端直接设置
```
client_max_body_size 8M;
```
不需要文件上传的站点，post_max_size 可以设置更低。同时在 Nginx/Apache 层限制请求头数量、字段数量、multipart 分段数量。
增加WAF/防火墙

使用WAF，开启 PHP 异常请求拦截规则。
对不需要文件上传的接口，限制或拦截 multipart/form-data 请求。
源站 IP 不要直接暴露，尽量通过 CDN / WAF 回源。
安全组只开放必要端口，SSH 不要全网开放。

排查是否已被探测或入侵

网站访问日志里是否有异常大的 POST 请求、异常 multipart 请求。
PHP 错误日志是否有大量 OOM、内存相关报错。
Web 目录是否新增陌生 PHP 文件、可疑脚本。
服务器是否有陌生进程、异常外联。

最后，还是尽可以升级到php8，如果之前还在使用php6、php7可以先升级到php8.3。

PHP8.2及以上更新

PHP8.1及以下

评论 0