一、漏洞描述

PHP 是一种广泛使用的开源通用脚本语言，应用范围涵盖多数服务器与操作系统。近期，PHP 被披露存在远程代码执行漏洞，漏洞编号分别为 CVE-2026-109618、CVE-2026-109619，代号“php2shell”。该漏洞可导致未经身份验证的远程攻击者通过发送特制的 multipart POST 请求，触发内存破坏并最终实现远程代码执行，从而完全控制服务器。

该漏洞包含两个具体问题：其一（CVE-2026-109618），PHP 在处理内存耗尽（OOM）错误时使用 longjmp() 提前退出当前上下文，攻击者可通过构造包含大量头部、嵌套字段名或空文件控件的 multipart 请求，在看似不超过 post_max_size 限制的情况下耗尽 memory_limit，触发 OOM，并在请求关闭过程中导致内存破坏与远程代码执行；其二（CVE-2026-109619），PHP 工作进程在请求内存释放前未完全重置指向前一请求内存的全局状态（如错误、会话、对象和扩展状态），导致释放后使用（UAF），攻击者可跨请求利用陈旧状态，实现未授权堆释放后使用、内存泄露或远程代码执行。

二、影响范围

根据公开披露信息，使用以下受影响版本 PHP 的网站及业务系统均可能受影响：

PHP < 8.2.35

PHP < 8.3.36

PHP < 8.4.27

PHP < 8.5.12

各类基于 PHP 开发的网站、业务系统及运行 PHP 的 Web 服务器均可能遭受影响。

三、解决方案

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，尽快升级至安全版本：

PHP >= 8.2.35、PHP >= 8.3.36、PHP >= 8.4.27、PHP >= 8.5.12。

建议在升级前做好数据备份工作，避免出现意外。