如果你还在维护基于 PHP 的 Web 站点或后端服务，请务必立刻放下手中的工作，先检查服务器的补丁状态。
2026 年 10 月 21 日，PHP 开发团队对外发出紧急安全公告，针对其核心引擎中发现的两项高危远程代码执行（RCE）漏洞，正式推送了安全更新版本。根据 PHP 官方发布存档页面的官方说明，这两项编号分别为 CVE-2026-109618 和 CVE-2026-109619 的漏洞，在 CVSS v4.0 评级系统中被列为“关键（Critical）”，评分高达 9.2 分。这是一个极高的危险等级，意味着攻击者不需要任何登录权限，仅仅通过向 Web 服务器发送精心构造的请求，就有可能绕过安全防护，直接在服务器上执行任意系统指令。
目前，官方修复版本已发布：
PHP 8.1 及更早版本已经停止上游维护。PHP 安全团队额外提供了 PHP 7.4、8.0、8.1 的最小化源码回移植补丁，发行版和 LTS 服务商也可能提供安全更新。
漏洞深度解析：无需身份验证的“幽灵权限”
本次暴露的核心问题在于 PHP 核心解释器在处理特定输入解析逻辑时，未能妥善处理内存边界或请求封装的边缘情况，导致了严重的缓冲区溢出或逻辑注入风险。
对于攻击者而言，这两个漏洞的利用难度相对较低，但带来的杀伤力却是毁灭性的。一旦服务器被成功渗透，黑客可以利用被接管的 PHP 进程权限，在后台悄无声息地植入后门程序、勒索病毒，或者将服务器转化为参与大规模分布式拒绝服务（DDoS）攻击的“肉鸡”。由于漏洞发生在 PHP 的底层解析器层面，绝大多数基于原生 PHP 或常见框架（如 Laravel、Symfony 等）构建的应用都可能受到不同程度的影响。
CVE-2026-109618：内存耗尽导致的内存状态损坏。PHP 在内存耗尽（OOM）时，可能中断尚未完成初始化的请求处理流程。后续清理过程可能错误地访问无效内存，最终导致远程代码执行。
CVE-2026-109619：全局状态残留导致 Use-After-Free。PHP Worker 可能保留已经释放的请求内存引用。后续请求访问这些残留状态时，可能触发 Use-After-Free，最终造成远程代码执行。
受影响的 Web 运行环境包括：
- PHP-FPM
- Apache mod_php
- php-cgi
- FrankenPHP
- LiteSpeed
其中，Apache mod_php 被官方认定为最高风险场景，已验证存在无需执行应用程序代码即可触发的攻击路径。
运维紧急行动清单：如何识别与止损
鉴于漏洞的严重性与互联网上的自动化扫描工具的活跃度，目前全球网络空间已经处于高危暴露期。对于运维人员和开发人员，我们建议采取以下紧急措施：
第一，尽快核对生产环境 PHP 版本，并同步更新至官方发布的最新安全修复版本。如果你的项目使用 Docker 容器，请务必在执行完 docker pull 后重新构建镜像并滚动升级，不要试图通过修改配置文件等旁门左道来修补。
第二，部署临时 Web 应用防火墙（WAF）拦截规则。虽然补丁升级是根本解决之道，但在无法立即重启服务的情况下，可以配置 WAF 针对异常的高频请求、带有非法字符的 POST 请求参数以及畸形的 Content-Type 头信息进行拦截，以此作为缓解风险的缓冲。
第三，深入审计服务器审计日志。由于此类漏洞目前已被公开，黑客组织的自动化脚本大概率已经在全网扫描受影响的靶机。仔细排查最近 24 小时内的 Web 访问日志（Access Logs），如果看到访问路径中包含异常的乱码、特殊的 PHP 预定义变量注入特征或非预期的系统调用路径，必须立刻采取断网隔离排查措施。
运维人员应立即采取的行动：
盘点所有对外提供 HTTP 服务的 PHP 实例。优先升级到上述官方安全版本。Debian / Ubuntu 用户检查发行版安全仓库中的回移植补丁。Docker 用户更新 PHP 基础镜像并重新部署。检查 Cloudflare、ModSecurity 和 Web 服务器防护配置。
升级完成后重启服务，确认实际运行的 PHP 版本。
PHP 官方建议：
针对 CVE-2026-109618：
- 将 memory_limit 设置为 -1，减少可控的 PHP 内存限制失败路径
- 限制 POST 请求体大小、multipart 表单字段数量及嵌套深度
- 在 Web 服务器或代理层实施独立的请求限制
注意：memory_limit=-1 会取消 PHP 自身的内存限制，可能增加内存耗尽风险，需要谨慎评估并配合资源隔离措施。
针对 CVE-2026-109619：
- 设置 session.upload_progress.enabled=0
- PHP 8.5 额外设置 fatal_error_backtraces=0
- 修改后重启全部 PHP Worker
- 排查无效、已废弃的 PHP INI 配置及可被攻击者触发的致命错误
上述配置仅能阻断部分已确认的攻击路径，不属于完整修复方案。
Cloudflare 已发布紧急 WAF 更新，通过 Generic Rules - Anomalous Execution 规则检测异常请求。建议立即检查 Cloudflare Managed Ruleset 或 Free Ruleset 是否启用。对于 ModSecurity / OWASP CRS 用户，建议持续更新规则，结合请求体大小、multipart 表单数量及上传行为限制进行防护。但请注意：WAF 只能降低部分攻击风险，不能保证完全阻断这两项漏洞。
官方参考资料：
- PHP 安全公告：https://www.php.net/archive/2026.php
- CVE-2026-109618：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- CVE-2026-109619：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- Cloudflare WAF 更新：https://developers.cloudflare.com/changelog/product/waf/
Web3 与金融站点的特警要求
对于使用 PHP 构建后台逻辑的 Web3 项目、交易所或金融资讯站，情况尤为危急。由于业务的高度敏感性，这些站点往往是黑客组织的“重点照顾对象”。
请确保所有的数据库连接凭据、API 密钥以及私钥存储逻辑，都已通过环境变量加密隔离，且 PHP 服务进程运行在独立的、受限的操作系统用户账户下（禁止以 root 权限运行）。即便漏洞被突破，也要确保黑客只能拿到一个被锁死在沙箱里的进程权限，而无法从底层读取系统文件或窃取核心密钥。
安全无小事。这起事件再次提醒我们，作为互联网生态基石的 PHP，虽然经过了数十年磨练，但依然可能在极其底层的解析逻辑中埋下隐雷。保持对官方安全通知的实时关注，不仅是技术的职业素养，更是每一位开发者对用户资产安全所必须承担的底线责任。
本报道由 圈小蛙（qxwa.com） 科技资讯站特约撰稿。🐸️