PHP远程代码执行漏洞分析及修复建议（整理自CNCERT）

一、漏洞概要

2026年10月21日，国家信息安全漏洞共享平台（CNVD）收录了 PHP 远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应 CVE-2026-109618、CVE-2026-109619）。未经身份验证的远程攻击者可构造恶意 HTTP 请求触发内存错误，在特定条件下实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。目前，漏洞技术细节与 PoC 已广泛传播，CNVD 建议受影响用户立即升级至最新版本。

二、漏洞情况分析

PHP 是一种广泛使用的开源通用脚本语言，适用于 Web 开发并可嵌入 HTML 中。PHP 解释器内核为全球多数 Web 应用运行提供了基础运行时环境，包括 WordPress、Drupal、Joomla、Laravel 等主流框架和内容管理系统。

2026年10月21日，CNVD 收录了上述 PHP 远程代码执行漏洞。PHP 解释器内核在内存管理环节存在逻辑处理缺陷，攻击者可构造特定 HTTP 请求触发程序异常处理流程，导致内部数据状态异常或已释放内存被再次访问，引发内存破坏。未经身份验证的远程攻击者，可构造恶意 HTTP 请求触发内存错误，并在特定条件下实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。

三、漏洞影响范围

目前，已知受漏洞影响的 PHP 产品版本包括：

• 8.2.35 版本之前的 8.2.x 版本；
• 8.3.36 版本之前的 8.3.x 版本；
• 8.4.27 版本之前的 8.4.x 版本；
• 8.5.12 版本之前的 8.5.x 版本。

厂商发布的修复版本为 PHP 8.5.12、8.4.27、8.3.36、8.2.35。

此外，该漏洞还影响 Magento、WordPress、Drupal、Joomla、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart 等基于 PHP 环境的主流 CMS 和框架。

四、漏洞处置建议

（一）排查建议

互联网用户可通过以下方式查看 PHP 使用版本，在此基础上对照影响范围判断是否受此漏洞影响：

1. 使用 php -v 命令查询；
2. CLI 和 Web 服务器可能运行不同的 PHP 版本，需使用 php-fpm -v 或 php-fpm8.3 -v 命令查询网站实际提供的版本。

（二）修复建议

目前，PHP 安全团队已修复漏洞并发布安全公告，受影响用户应密切关注官方信息，通过官方渠道下载并更新至最新版本（php.net 官方公告）。

（三）缓解建议

暂无法及时更新的用户，可采取以下措施减少部分攻击路径，缓解漏洞威胁：

1. PHP-FPM 可设置 memory_limit=-1 移除可预测的单次请求内存限制；mod_php 可关闭会话上传进度功能与 fatal backtrace：全局设置 session.upload_progress.enabled=0（PHP 8.5 可设置 fatal_error_backtraces=0），并重启全部工作进程或 Web 服务器。
2. 阻断跨请求状态传递（此方式会降低服务性能）：FPM 池设置 pm.max_requests=1，mod_php 对应 Apache 的 MaxRequestsPerChild=1。
3. 通过 WAF 等安全设备拦截异常 multipart/form-data 的 HTTP 请求。
4. 持续监测 PHP 进程异常退出、系统异常命令调用、陌生进程创建、异常文件写入等行为，留存日志用于溯源分析。

（四）防护建议

CNVD 建议信息系统运营单位进一步加强安全防护：全面梳理本单位网络资产，按照“非必要不上网”原则，缩小信息系统的公网暴露面。暂不具备修复条件的运营单位，应采取网络隔离、网络访问限制、非必要业务系统下线等临时性应对措施。

常见问题

下一步

这类“基础运行时零日”的危害在于：它不挑业务，凡是跑在受影响 PHP 版本上的站点都可能中招。对网站运营者而言，核心动作是三件：先查清实际运行的 PHP 版本（CLI 与 Web 可能不一致）、再走官方渠道升级到修复版本、升级窗口内用 WAF 与请求隔离先挡一层。我们（云豆信息科技）在为客户交付官网、小程序与业务系统时，也始终把“后台权限归客户、数据可备份、HTTPS、代码审计、依赖与运行时常态化升级”等安全基线纳入交付标准。如果你正在评估官网或业务系统建设，欢迎把安全与合规要求一并告诉我们。

相关阅读

需求聊一聊

把大致方向告诉我们，免费给出功能拆解与工期建议。工作日 09:00 - 17:00 在线。

微信咨询

服务号