PHP 严重远程代码执行漏洞（CVE-2026-109618 和 CVE-2026-109619）：请立即修补您的服务器
PHP 是一种广泛使用的编程语言，为网站、内容管理系统和 Web 应用程序提供支持。目前，PHP 已披露两个严重的远程代码执行（RCE）漏洞。
这两个漏洞的编号分别为 CVE-2026-109618 和 CVE-2026-109619。攻击者无需身份验证，即可利用这些漏洞在受影响的服务器上执行任意代码。成功利用漏洞可能导致服务器安全性受到破坏、敏感信息泄露或业务服务中断。
鉴于这些漏洞的严重性，建议管理员尽快检查受影响的 PHP 安装，并及时应用相应的安全更新。
漏洞详情
这两个漏洞影响 PHP 内部的请求处理机制，可能导致不安全的内存操作，并被攻击者利用来实现远程代码执行。
受影响的环境可能包括处理 Web 请求的 PHP 配置，例如 PHP-FPM、搭配 mod_php 的 Apache、php-cgi 以及其他 PHP 应用服务器配置。
如需了解技术细节，请查阅以下官方记录：
受影响及已修复的 PHP 版本
据报告，这些漏洞影响 PHP 5 及更高版本，包括 PHP 上游项目已停止维护的旧版本。
以下 PHP 上游版本已包含相应的修复：
| PHP 分支 | 已修复版本 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
重要提示： PHP 8.1 及更早版本目前未列出对应的 PHP 上游修复版本。部分操作系统供应商可能会通过回移植的方式提供安全补丁。请查阅相关供应商的安全公告，确认您安装的软件包是否已完成修复。
如何检查并保护您的服务器
对于运行基于 PHP 的网站或应用程序的管理员，我们建议采取以下措施。
步骤 1：检查 PHP 版本
运行以下命令，检查服务器上安装的 PHP 命令行（CLI）版本：
php -v查看命令输出，并将已安装的版本与上文列出的 PHP 修复版本进行比较。
步骤 2：识别所有 PHP 安装
如果您的服务器托管了多个网站，或者使用了多个 PHP 版本，请分别检查每个安装实例。
对于 Linux 服务器，请运行：
which php
whereis php在 Debian 或 Ubuntu 系统上，可以使用以下命令列出已安装的 PHP 软件包：
dpkg -l | grep -E 'php[0-9.]'如果您使用 PHP-FPM 或主机控制面板，请检查每个网站所分配的 PHP 版本。命令行使用的 PHP 版本可能与 Web 应用程序实际使用的版本不同。
步骤 3：安装安全更新
对于 Ubuntu 或 Debian 系统，请查阅相应的发行版安全公告，并通过软件包管理器安装适用的安全更新。
更新软件包列表：
sudo apt update查看可用的软件包更新：
apt list --upgradable确认适用于当前环境的软件包后，安装相应的 PHP 安全更新。
重要提示： Ubuntu 和 Debian 可能通过回移植的方式提供安全修复，而不将上游 PHP 版本号更新为上文列出的版本。请查阅官方发行版安全跟踪页面，确认您安装的软件包是否已修复。
对于其他 Linux 发行版，请使用操作系统供应商提供的官方安全公告和软件包仓库。
如果 PHP 是通过源代码编译、第三方软件仓库或主机控制面板安装和管理的，请按照相应供应商提供的升级流程进行操作。请确保网站使用的每个 PHP 版本都已更新。
步骤 4：重启相关服务
应用更新后，根据服务器配置的要求，重启受影响的 PHP-FPM 或 Web 服务器服务。
例如，如果服务器使用 PHP 8.4 FPM，请运行：
sudo systemctl restart php8.4-fpm具体服务名称可能因已安装的 PHP 版本和服务器配置而有所不同。
步骤 5：验证更新结果
再次检查 PHP 命令行版本：
php -v对于由操作系统发行版管理的软件包，请根据相应的安全公告核对已安装的软件包修订版本，而不要仅依赖上游 PHP 版本号来判断是否已修复。
最后，请测试您的网站和应用程序，确认更新后各项功能均正常运行。
步骤 6：检查服务器安全状况
应用安全更新可以修复已知漏洞，但这并不意味着服务器此前没有遭到入侵。
请检查相关系统日志和 Web 服务器日志，留意可疑请求、异常进程、未经授权的文件更改、陌生账户或异常的对外网络连接。
如果发现可能表明服务器已遭入侵的迹象，请单独开展安全事件调查，并采取适当的事件响应措施。根据调查结果，可能还需要轮换凭据、排查恶意软件，或从已知安全的备份中恢复系统。
如果暂时无法立即更新怎么办？
推荐的修复措施是升级到已修复的版本，或安装经过验证的供应商安全补丁。
如果暂时无法立即更新，请优先处理面向互联网开放的 PHP 服务，并评估是否可以暂时将存在漏洞的应用程序与不可信网络隔离，直至完成修复。
在某些环境中，网络访问限制和 Web 应用防火墙可以降低风险，但不能替代安全补丁的安装。
对于已停止维护且没有 PHP 上游修复版本的旧版 PHP，请制定升级到受支持 PHP 版本的计划，或确认是否有合适的供应商安全补丁可用。
云集群客户如何获取帮助
如果您在云集群服务器上托管基于 PHP 的网站或应用程序，我们建议您尽快检查 PHP 安装情况，并应用适当的安全更新。
如果您不确定应用程序使用的 PHP 版本，或在更新过程中遇到问题，请联系技术支持团队，并提供以下信息：
- 操作系统版本
- PHP 安装方式
- 受影响的 PHP 版本
- 相关错误信息（如有）
请注意，除非双方另有托管服务协议约定，否则客户有责任维护和更新其服务器内部安装的软件。
官方安全参考资料
最后建议
这些漏洞会给基于 PHP 的服务带来严重的安全风险。管理员应全面检查 PHP 安装情况，优先处理面向互联网开放的系统，及时应用适当的安全更新，并调查任何可能表明服务器已遭入侵的迹象。
请勿延误修复。请尽快更新受影响的 PHP 安装，以帮助保护您的网站、应用程序和服务器基础设施。