【漏洞风险通告】PHP远程代码执行漏洞

PHP是全球广泛使用的服务器端编程语言。该漏洞是PHP核心（PHP Core）中存在的严重漏洞，CVSS评分高达9.2（严重）。攻击者无需身份认证，通过构造恶意HTTP请求即可触发内存破坏（释放后重用UAF）或内存耗尽缺陷，在服务器上以PHP进程权限执行任意代码，可能导致服务器被完全控制、敏感数据泄露或业务中断。

目前官方已经发布了修复版本。迪普科技建议相关用户及时进行修补更新，做好相关防护措施。

高危

CVE-2026-109618：该漏洞是PHP内存耗尽缺陷漏洞，利用PHP在内存耗尽（OOM）时longjmp()提前退出的机制，导致未完全初始化的请求内存在关闭阶段被错误消费，触发内存破坏。

CVE-2026-109619：该漏洞是PHP跨请求陈旧状态缺陷，利用PHP工作进程在请求结束后全局状态未正确重置，导致后续请求在初始化前访问已释放的内存，形成释放后重用（UAF）。

PHP 8.2.x < 8.2.35

PHP 8.3.x < 8.3.36

PHP 8.4.x < 8.4.27

PHP 8.5.x < 8.5.12

CVE-2026-109618：PHP在处理内存耗尽（Out of Memory，OOM）错误时，使用longjmp()进行非本地跳转以提前退出当前执行上下文。在某些场景下，请求内存尚未完全初始化就已经处于可访问状态；一旦此时出现内存分配失败，PHP未能正确处理该提前退出逻辑，将会造成请求内存状态无效。

CVE-2026-109619：PHP工作进程会复用以提升性能，但每次请求拥有独立的内存空间。某些内部全局状态保留在工作进程中，却指向单次请求持有的内存（如错误、会话、对象或扩展相关状态）。这些引用必须在请求内存释放前正确重置，否则形成释放后使用（Use-After-Free，UAF）。

版本检测：

相关用户可通过查看PHP的版本来判断应用是否在受影响范围内：

PHP -v:

当前官方已发布修复版本，及时升级。升级后需重启Web服务与PHP工作进程，确保旧进程不再处理请求。

更新地址：https://www.php.net/downloads.php 

迪普科技安全研究院监测到PHP远程代码执行漏洞后，迅速采取了应急措施。