接有关部门通报，PHP官方于10月21日披露并修复两项严重远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），CVSS 4.0评分均为9.2。未经身份验证的攻击者可通过构造HTTP请求触发，造成Web工作进程崩溃、进程内存信息泄露，甚至以Web服务进程权限执行任意代码。目前官方已发布安全更新。
一、漏洞情况
CVE-2026-109618为内存耗尽（OOM）引发的内存损坏漏洞。PHP在内存耗尽时通过longjmp()提前退出，可能留下尚未完整初始化的请求内存，请求关闭流程访问这些无效状态即造成内存损坏并可能实现远程代码执行。官方已在Apache mod_php默认输入与内存限制下通过HTTP验证完整的未认证RCE，触发可发生在应用代码执行之前。
CVE-2026-109619为跨请求全局状态释放后使用漏洞。工作进程的全局状态仍持有上一请求已释放内存的指针，后续请求在正常初始化重置前访问旧状态，可造成堆释放后使用、内存泄露及远程代码执行。官方确认该路径在mod_php和PHP-FPM下均可实现RCE；会话上传进度功能默认开启，触发相关处理不要求应用主动调用session_start()。目前尚未发现在野利用，但公开EXP已经出现。
二、影响范围
受影响版本为PHP 5.4.0至8.1.x，以及PHP 8.2.x < 8.2.35、PHP 8.3.x < 8.3.36、PHP 8.4.x < 8.4.27、PHP 8.5.x < 8.5.12。使用PHP-FPM、mod_php、FrankenPHP、LSAPI等SAPI对外提供Web服务的系统均需排查。PHP 8.1及更早分支已停止官方支持，不再获得上游修复，应尽快迁移至受支持版本。
三、修复及缓解措施
1.尽快升级至PHP 8.2.35、8.3.36、8.4.27、8.5.12或相应分支后续安全版本（https://www.php.net/downloads.php），升级后重启全部PHP工作进程及相关服务，并核对实际Web SAPI的版本与生效配置，避免仅检查CLI版本；使用发行版回补补丁的，应依据供应商安全公告确认修复状态。
2.对CVE-2026-109618，暂无法升级时可在管理员级配置中强制memory_limit=-1并重启全部工作进程，确认池、目录或应用配置未恢复有限值；同时在前端限制解码后的请求体大小、输入变量、multipart分段及上传数量，业务不需要multipart的可直接拒绝此类请求。不得以RLIMIT_AS或RLIMIT_DATA替代PHP内存上限。
3.对CVE-2026-109619，应在请求解析前生效的服务器启动配置、php.ini或FPM池配置中设置session.upload_progress.enabled=0并重启全部工作进程，PHP 8.5环境可另设置fatal_error_backtraces=0；上述配置不能依赖脚本内的ini_set()或.user.ini。
四、响应处置要求
为防范相关风险，请相关单位排查PHP环境使用情况，摸清版本底数与互联网暴露面，及时修补漏洞，重点关注对外提供服务的Web服务器、共享主机及控制面板/CMS环境。同时加强网络安全监测，关注PHP工作进程异常退出、Web服务器崩溃日志及异常子进程、异常文件写入，保留相关日志。如发生相关网络安全事件，各单位应按照《教育系统网络安全事件应急预案》要求，第一时间报告教育部24小时值守电话（010-66096817），并采取有效措施将负面影响降到最低。
特此通报。