HP 2026‑10‑21 两个高危未授权 RCE 漏洞（代号 PHP2Shell）

官方漏洞链接：https://www.php.net/archive/2026.php#2026-10-21-5

CVSS v4.0：9.2 严重级别，无需登录，远程代码执行，攻击者发特制 HTTP 请求即可拿到服务器 PHP 进程权限，甚至在业务 PHP 代码还没运行之前就完成攻击；mod_php(Apache)部署风险最高，PHP‑FPM、FrankenPHP、LiteSpeed、php‑cgi 全部受影响。 ✅ 唯一完整修复方式：升级 PHP；缓解措施只是降低攻击面，不能彻底消除风险PHP。

漏洞 1：CVE‑2026‑109618｜OOM corruption（内存耗尽损坏）PHP

成因：PHP 发生内存耗尽 (OOM) 时，会用longjmp强行中断请求；中断发生时，请求内部数据结构只完成部分初始化。后续请求清理逻辑错误把未初始化 / 无效内存当成合法数据处理，造成内存破坏，最终 RCE。

临时缓解（不能根治）

1. 把memory_limit=-1，必须在 FPM pool / Apache php_admin_value 设置，业务代码不能覆盖；
2. 调低post_max_size，不需要上传设8M，需要上传最多32M，upload_max_filesize < post_max_size；
3. 在反向代理 / WAF 层限制：multipart 表单、header 数量、表单字段数量、嵌套深度；
4. 使用 cgroup / 容器做内存限制，worker 进程 OOM 直接杀死；不要使用 RLIMIT_AS/RLIMIT_DATA，会触发漏洞条件PHP。

漏洞 2：CVE‑2026‑109619｜stale global state（过期全局状态，UAF 释放后重用）PHP

成因：一个 HTTP 请求对应的内部状态，内存已经被 free 释放，但残留指针没有清零；同一个 worker 进程处理下一个新请求时，在正常初始化重置执行之前，就访问这块已经释放的旧内存（use‑after‑free），造成内存破坏 RCE。

这个漏洞一条关键利用链依赖 session.upload_progress.enabled = On（PHP 默认开启），也就是你之前问的配置项。

临时缓解（不能根治）

1. 关闭上传进度：session.upload_progress.enabled=0

⚠️注意：不能用ini_set()、.user.ini，必须写 php.ini/ FPM pool 配置 / Apache 配置，重启 php‑fpm 全部 worker 进程，这会阻断该漏洞的 session 相关利用链，但不能阻断全部变种利用路径PHP。

2. PHP8.5 额外设置fatal_error_backtraces=0；
3. 修复业务里可被外部触发的致命错误、超时、上传回调异常；
4. display_errors/error_reporting关闭报错对此漏洞无效。

受影响版本 & 安全版本

PHP8.1 及更早官方已经停止维护，没有官方更新；部分发行版 LTS 提供回移补丁，PHP 官方给了 7.4/8.0/8.1 最小化源码补丁供自行编译使用PHP。

实操检查清单

1. 优先升级 PHP 到上面修复版本，重启 php‑fpm/web 服务；
2. 暂时无法升级：
   • session.upload_progress.enabled = 0（php.ini/FPM pool），重启 worker；
   • 调低post_max_size，WAF 拦截带PHP_SESSION_UPLOAD_PROGRESS字段的恶意 multipart 请求；
   • 容器 cgroup 限制内存，避免 RLIMIT_AS；
3. 缓解不等于修复，只要条件满足依然可能被攻击，升级才是根治方案。

攻击特征：请求为multipart/form‑data POST，携带表单字段PHP_SESSION_UPLOAD_PROGRESS，正常业务极少出现该字段，WAF 可以优先拦截该特征流量腾讯云。

如果你需要，我可以给你一段命令快速检查当前 PHP 版本、打印session.upload_progress.enabled配置状态。
 

PHP7 全部版本（7.0 ~ 7.4）都受这次 php2shell（CVE‑2026‑109618 / CVE‑2026‑109619）高危 RCE 漏洞影响

漏洞根源代码从 PHP 5.4 就存在，所以 7.x 全中；但是：PHP 官方已经不再给 7.x 发正式版本包PHP

分版本说明

1. PHP 7.4
   • 官方给了最小化源码补丁，只能自己手动源码编译打补丁，没有现成二进制安装包；
   • 很多发行版（Debian/Ubuntu LTS、CentOS）厂商可能会单独回移补丁包，可以看厂商安全公告PHP
2. PHP 7.3、7.2、7.1、7.0
   • 官方连源码补丁都不提供，彻底放弃维护，没有官方修复方案。请升级到最新的PHP8.X版

PHP2SHELL漏洞解决方案：升级PHP版本到最新版本