Lobsters | 📄 原文链接 | 2026-10-22 收录

PHP 两个未授权远程代码执行漏洞：四个分支同天发版

来源：php.net — 2026-10-21

📋 概述

PHP 安全团队在 10 月 21 日同时发布 8.5.12、8.4.27、8.3.36、8.2.35，修补两个可被未授权请求触发远程代码执行的漏洞。CVE-2026-109618 出在内存耗尽处理上：OOM 可以在内部请求数据只初始化一半时打断 PHP，请求清理阶段随后把这段无效数据当成有效数据使用。CVE-2026-109619 是请求私有状态在内存释放后仍然存活，同一个 worker 处理的下一个请求可能在正常初始化重置它之前就用到这份陈旧状态。风险最高的是 mod_php，存在不经过任何应用代码就能触发的演示利用。

🔑 核心要点

CVE-2026-109618 走 OOM 路径：内存耗尽中断导致请求内部数据结构半初始化，清理逻辑随后误用这块数据
CVE-2026-109619 是陈旧全局状态：请求独占状态在其内存释放后仍存活，后续请求可能先用到它
受影响面覆盖 PHP-FPM、mod_php、php-cgi、FrankenPHP 与 LiteSpeed，其中 mod_php 有在应用代码执行前就能打的利用演示
无法立刻升级时只能减少暴露面：OOM 路径可设 memory_limit=-1 并压低 post_max_size，陈旧状态路径须关掉 session.upload_progress.enabled 并重启所有 worker
8.1 及更早已停止维护，团队为 7.4/8.0/8.1 提供了最小源码 backport；rpms.remirepo.net 当天不会有更新，建议改用发行版包或自行编译

💡 金句

There are no complete mitigations, updating is the only safe choice.

← 返回 Lobsters 首页