漏洞详情

PHP 官方发布安全公告，披露两项严重远程代码执行（RCE）漏洞：

  • CVE-2026-109618

  • CVE-2026-109619


攻击者可在未经身份验证的情况下利用漏洞执行恶意代码，官方强烈建议所有用户立即升级。

影响范围

受影响环境包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的 PHP 环境。其中 Apache mod_php 风险尤为突出，攻击可在应用程序代码运行前触发。

修复版本

官方已发布以下安全版本：

  • PHP 8.5.12

  • PHP 8.4.27

  • PHP 8.3.36

  • PHP 8.2.35


仍在使用 PHP 8.1 及更早版本的用户，应联系发行版或 LTS 供应商确认补丁情况，或升级至受支持版本。

官方提醒

临时缓解措施无法完全消除风险，立即安装安全更新才是彻底解决漏洞的方式。