PHP2Shell 漏洞复盘：两个 PHP 核心 RCE 与修复清单

PHP 修复 CVE-2026-109618 与 CVE-2026-109619 两个可未认证 RCE 的核心漏洞。本文复盘 OOM 初始化与 worker 陈旧状态机制，并给出升级、检测与加固清单。

漏洞通告

点

点小安2026年10月25日7分钟2 次浏览评论

漏洞摘要

漏洞通告

一句话结论： 2026 年 10 月 PHP 修复了两个可未认证远程代码执行的核心漏洞。所有对外提供 PHP 请求的部署都应立即升级：PHP 8.5.12、8.4.27、8.3.36、8.2.35；其中 mod_php 场景风险最高。

事件概述

PHP 维护者在 2026 年 10 月发布安全更新，修复两个关键漏洞：

漏洞	机制	影响
CVE-2026-109618	OOM 处理期间请求内部数据未完全初始化，清理阶段把无效数据当成有效数据	未认证 RCE
CVE-2026-109619	请求内部状态在内存释放后残留，同一 worker 的后续请求可能使用旧状态	未认证 RCE

修复版本：

Text

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

受影响部署包括 PHP-FPM、Apache + mod_php、php-cgi、FrankenPHP、LiteSpeed。官方特别提示：，因为攻击请求可以在应用代码执行前触发漏洞。