PHP Core php2shell远程代码执行漏洞(CVE-2026-109618)

详细信息

漏洞类型

通用型漏洞

漏洞描述

PHP是一种广泛用于Web开发的开源服务器端脚本语言。PHP Core是PHP解释器的核心部分，负责把代码解析、编译并执行，还管着内存、函数、类这些基础能力。 PHP在发生内存耗尽（OOM）时使用longjmp()中断执行，可能使尚未完成初始化的请求数据处于无效状态，随后请求清理流程访问这些数据，造成内存损坏并导致以Web工作进程权限执行任意代码。

修复建议

请升级到PHP 8.5.12、8.4.27、8.3.36、8.2.35或更高版本，PHP 8.1及更早版本不再接收PHP项目的更新。一些发行版和LTS厂商提供回溯修复，请联系相关供应商咨询，或升级到支持的版本。参考链接： https://www.php.net/index.php#2026-10-20-1 https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

缓解措施

1、由管理员强制设置memory_limit=-1，重启全部工作进程，确保应用或其他配置无法恢复有限的内存限制。底层内存分配失败仍可触发漏洞，此措施并非完整修复。 2、限制解码后的请求体大小、输入变量数量、multipart分段及每段头部数量、上传数量和嵌套深度；不需要multipart的业务可在前端直接阻断。 3、使用容器或cgroup内存限制控制资源耗尽影响，优先仅终止受影响的工作进程；不要使用RLIMIT_AS或RLIMIT_DATA替代，它们可能触发存在漏洞的分配失败路径。