一、漏洞概述
近日，PHP Core 曝出两处严重远程代码执行漏洞，编号为CVE -2026-109618、CVE-2026-109619。当前PHP 官方尚未发布完整技术细节、明确受影响版本与修复版本，但已确认漏洞为严重远程代码执行（RCE）漏洞。
现有外部分析显示，PHP Core 的session .upload _progress 会话上传进度处理机制存在堆释放后重用（UAF）缺陷，该功能默认启用，无需业务代码参与即可触发，可能会导致进程崩溃甚至实现远程代码执行。
二、影响范围
若完整利用链达成，攻击者可在PHP 进程权限下执行任意代码，可能导致服务器被完全控制、敏感数据泄露、业务中断，或被用于部署WebShe l l、建立持久化访问及向内网横向移动。
受影响对象为部署PHP 环境的业务服务器、Web 应用系统。因PHP官方暂未公布明确受影响版本，暂无法精准划定版本区间。
三、安全建议
修复版本以官方发布为准（https://www.php.net/archive/2026.php），PHP 8.1 及更早版本已停止支持，应尽快迁移或下线隔离。
以下方案为应急临时措施，可能影响业务功能，升级完成后应及时评估是否保留。
1、若业务不使用上传进度条，在ph p .ini、.user .ini
或.htaccess 中设置sessi on .upl oad _progress .enabled =Off，并重新加载PHP-FPM 或Web 服务器。该措施可切断本次已验证的中途session 生命周期路径，但不能替代官方补丁。
2、在WAF、反向代理或网关层收紧对mu ltipart/form-da ta 请求的检查与速率限制，重点保护不需要文件上传的业务端点；相关限制可能影响正常上传业务。
3、启用session .use _s tric t _mod e =1，降低攻击者指定任意会话ID 的风险；审计会话包装类与自定义save h andler 的重入风险，避免在清理路径中重入sessi on API。
4、对PHP 8.1 及更早的停止支持版本，采取下线、网络隔离、VPN或白名单访问等措施，直至完成迁移。
5、监控PHP 工作进程异常退出、Web 服务器崩溃日志，以及PHP进程启动的异常子进程和异常文件写入，保留Web 服务器与PHP 日志。
6、提前准备升级窗口、回滚方案及主机商、面板厂商的联络渠道，补丁发布后尽快完成更新。
