UCloud-202610-002:PHP 远程代码执行漏洞安全公告（CVE-2026-109618、CVE-2026-109619）

PHP 是广泛用于网站和 Web 应用的服务器端脚本语言，可通过 PHP-FPM、Apache mod_php、php-cgi、LiteSpeed 等方式处理 HTTP 请求。

 

2026 年 10 月 21 日，PHP 官方发布安全更新，修复两处严重远程代码执行漏洞，CVSS v4.0 评分均为 9.2。CVE-2026-109618 涉及内存耗尽时请求内存未完整初始化及异常退出后的清理问题；CVE-2026-109619 涉及请求结束后仍保留指向已释放内存的全局状态，后续请求可能在正常初始化前访问该状态。攻击者在满足相应条件时，可能以 PHP Web 服务进程权限执行代码。官方已确认存在无需身份认证的利用路径，建议所有对外提供 PHP Web 服务的客户尽快升级。

【官方升级修复】

 

尽快升级到对应分支的 PHP 8.2.35、8.3.36、8.4.27、8.5.12 或后续已修复版本。使用操作系统软件包、容器镜像或托管服务时，安装供应商提供且明确包含这两个 CVE 修复的版本。升级后按供应商要求重启 PHP-FPM、Apache、LiteSpeed 等服务或替换容器，并确认所有对外服务实例均已加载修复版本。升级是唯一完整的修复方式。

 

【无法立即升级时的临时措施】

 

1. 对 CVE-2026-109619 已确认的会话上传进度路径：业务不使用该功能时，在 php.ini、PHP-FPM pool 或 Web 服务启动配置中设置 session.upload_progress.enabled=0，重启全部 PHP worker 并核验实际生效值。不要依赖 ini_set() 或 PHP-FPM 的 .user.ini；此设置不能覆盖该漏洞的其他路径，也不能缓解 CVE-2026-109618。

2. 对 CVE-2026-109618：控制 post_max_size，并在前端限制解码后的请求体大小、multipart 分段数、字段数、上传数量和嵌套深度；限制应覆盖缺少有效 Content-Length 的请求。PHP 官方还提供 memory_limit=-1 等特定路径的临时缓解建议，但这些措施均不完整，实施前应评估资源消耗与业务影响。

3. 对不能及时升级或获取供应商回补的旧版本服务，收敛公网暴露面，可按业务需要采用访问白名单、VPN 或网络隔离，并持续监测 PHP 进程异常、错误日志与可疑请求。

 

【UCloud WAF 客户可选的辅助防护】

 

考虑到漏洞利用路径并不局限于单一字段，且会话上传进度字段也可能出现在正常业务请求中，UCloud WAF 暂不统一下发针对该字段的全局阻断规则。客户可按业务情况选用以下措施：

 

1. 在受保护域名上开启请求 Multipart 检测开关，以便 WAF 对 multipart/form-data 请求进行解析和检测。

2. 经业务确认不使用 PHP 会话上传进度功能后，可添加 UWAF 自定义规则：请求 Body 包含 PHP_SESSION_UPLOAD_PROGRESS 时拦截。这是该功能的默认表单字段名；若业务修改了 session.upload_progress.name，规则需按实际字段名调整。启用前应检查正常上传请求，避免误拦截。

3. 如有特殊防护需求，可结合业务接口、上传需求及 WAF 日志制定专属规则。

 

上述 WAF 措施可降低部分已知请求路径的风险，不能保证覆盖两个 CVE 的全部利用方式，也不能替代 PHP 升级。对不需要 multipart 上传的接口，可在完成业务核验后按接口限制该类请求。