一、PHP "php2shell" 远程代码执行漏洞（CVE-2026-109618, CVE-2026-109619）

1.漏洞描述

近日接各领域安全通报，PHP被披露其存在远程代码执行漏洞，该漏洞存在于 PHP 核心层，影响包括主流 CMS 和框架（如 WordPress、Laravel 等）在内的各类 PHP 运行环境。未经身份验证的远程攻击者可利用该漏洞在目标服务器上远程执行任意代码，进而控制服务器。PHP 官方强烈建议所有 PHP 用户立即更新。风险等级：高风险。

2.漏洞影响范围

PHP8.5.x： < 8.5.12 受影响

PHP8.4.x： <8.4.27 受影响

PHP8.3.x： <8.3.36 受影响。

PHP8.2.x： <8.2.35 受影响

PHP8.1 及更早版本也受影响。但是 PHP 8.1 及更早的版本 PHP 项目不再发版本。官方给了仅供自行编译的最小 backport 分支：

PHP7.4：https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619

PHP8.0：https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619)

PHP8.1：https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619

3.解决方案

1)官方修复建议

PHP 安全团队已发布安全版本修复上述漏洞，具体通告链接：

https://www.php.net/archive/2026.php#2026-10-21-5

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

2)PHP官方提供的临时缓解措施

对于PHP-FPM，禁用会话上传进度session.upload_progress.enabled=0并进行设置memory_limit=-1。

对于mod_php，设置memory_limit=-1。

这些更改无法完全取代补丁，并且设置memory_limit=-1会移除 PHP 的内存限制，增加内存耗尽的风险，建议最好通过升级的方式来缓解漏洞。