PHP Core php2shell远程代码执行漏洞(CVE-2026-109619)

详细信息

漏洞类型

通用型漏洞

漏洞描述

PHP是一种广泛用于Web开发的开源服务器端脚本语言。PHP Core是PHP解释器的核心部分，负责把代码解析、编译并执行，还管着内存、函数、类这些基础能力。 PHP工作进程中的错误、会话等全局状态可能在请求内存释放后仍保留对该内存的引用。同一工作进程处理后续请求时，部分操作会在正常初始化前访问这些残留状态，触发释放后使用（Use-After-Free），进而造成信息泄露或远程代码执行。

修复建议

请升级到PHP 8.5.12、8.4.27、8.3.36、8.2.35或更高版本，PHP 8.1及更早版本不再接收PHP项目的更新。一些发行版和LTS厂商提供回溯修复，请联系相关供应商咨询，或升级到支持的版本。参考链接： https://www.php.net/index.php#2026-10-20-1 https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

缓解措施

1、设置session.upload_progress.enabled=0并重启全部工作进程。必须通过请求解析前生效的php.ini、FPM池或服务器配置实施，不能依赖ini_set()或FPM .user.ini。 2、PHP 8.5设置fatal_error_backtraces=0并重启工作进程，仅阻断已确认的致命错误回溯路径。 3、清除每请求配置中的无效、弃用设置，修复攻击者可触达的致命错误和执行超时。关闭错误显示、调整error_reporting或使用@隐藏错误不能阻断漏洞。 4、性能允许时，可考虑在FPM中设置pm.max_requests=1，减少跨请求复用工作进程的风险。