【安全提醒】PHP严重漏洞 CVE-2026-109618 CVE-2026-109619

PHP 官方已发布紧急安全更新，修复两个严重漏洞（CVSS 9.2），攻击者无需认证即可在受影响系统上远程执行代码（RCE）。这两个漏洞分别编号为 CVE-2026-109618 与 CVE-2026-109619。

各PHP版本可升级至修复版本：

• 8.5.11  →  8.5.12
• 8.4.26  →  8.4.27
• 8.3.35  →  8.3.36
• 8.2.34  →  8.2.35

如果仍在使用 PHP 8.1 或更早版本：这些分支已终止支持（EOL），不会获得官方补丁。请尽快评估兼容性并升级至 8.2 及以上版本。

对于暂时无法完成 PHP 升级的用户，PHP 官方提供了部分临时缓解建议。需要特别说明的是，以下措施只能降低特定漏洞利用路径的风险，不能彻底修复本次漏洞。

1. 针对 CVE-2026-109619

关闭 PHP Session 上传进度跟踪功能：找到对应 PHP 的 php.ini 配置文件，修改以下参数：session.upload_progress.enabled = 0如果使用 PHP 8.5，还可增加：fatal_error_backtraces = 0保存配置后，重启对应 PHP 服务，确保所有 PHP 工作进程重新加载配置。上述配置是 PHP 官方针对 CVE-2026-109619 已确认攻击路径提供的缓解措施，但不能完全排除其他利用方式。

2. 针对 CVE-2026-109618

PHP 官方建议通过调整内存及请求限制，降低漏洞利用风险。

（1）合理限制 POST 请求大小

可根据实际业务情况，在 php.ini 中调整：不需要大文件上传的业务，可参考：post_max_size = 8M需要文件上传的业务，可参考：post_max_size = 32M同时确保 upload_max_filesize 小于 post_max_size，并根据业务需求调整具体数值。如果网站存在大文件上传、数据导入等功能，请谨慎修改，避免影响正常业务。

（2）评估 PHP 内存限制及资源隔离

PHP 官方还提出，可通过设置：memory_limit = -1降低攻击者利用 PHP 内存限制触发相关漏洞的风险。但需要注意，该配置会取消 PHP 自身的内存限制。不建议普通用户在缺少资源隔离的情况下直接使用。仅建议具备相关运维经验的用户，在配置容器或 cgroup 内存限制、确保不会影响整机稳定性的前提下评估使用。此外，PHP 官方还建议在 Web 服务器或代理层限制请求体大小、请求参数数量及复杂度等，进一步降低攻击风险。