关于PHP远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）的预警通报

近日，工作发现最新漏洞威胁：PHP远程代码执行漏洞CVE-2026-109618、CVE-2026-109619

PHP的会话上传进度机制(session.upload_progress)存在两个预认证远程代码执行漏洞(CVE-2026-109618/109619)。攻击者通过构造特制的文件上传请求，可利用该机制在内存异常耗尽和进程状态复位不彻底时的缺陷触发释放后重用，先泄露进程内存地址绕过地址随机化，再劫持程序执行流程，以 Web 服务权限执行任意命令，且可绕过 disable_functions；此外该机制还会不加过滤地将攻击者指定的会话 ID 与上传文件名写入会话文件，在特定配置的站点上可进一步触发反序列化代码执行。攻击不要求目标应用存在任何缺陷，任意 PHP 页面均在攻击面内，影响 PHP 5.4 至 8.5.11 的默认配置版本，WordPress 等主流应用均受影响。

目前受影响的PHP版本：

8.2.x <= PHP < 8.2.35

8.3.x <= PHP < 8.3.36

8.4.x <= PHP < 8.4.27

8.5.x <= PHP < 8.5.12

官方修复建议：

官方已发布修复补丁，请更新至最新版本。PHP 8.5.12，PHP 8.4.27，PHP 8.3.36，PHP 8.2.35

下载地址：

https://www.php.net/downloads.php

请各单位增强网络安全防护意识，立即排查产品使用情况，并督促指导受影响单位及时升级漏洞补丁，消除风险隐患。同时，加强网络安全监测,如发现遭攻击情况及时处置并报告。