漏洞描述

PHP是一款广泛使用的开源服务器端脚本语言，大量网站与应用基于其构建。2026年10月21日，PHP官方发布安全更新，披露其内存耗尽(OOM)错误处理机制中存在堆内存释放后重用漏洞。当请求启动阶段解析 multipart 文件上传等输入的过程中发生内存耗尽时，错误处理机制通过longjmp提前退出当前上下文，而请求内存此时处于尚未完全初始化的临时可达状态，相关状态未被正确清理，请求关闭流程随后读取或基于该无效状态进行处理。未经身份验证的远程攻击者可发送特制的文件上传请求触发该漏洞，导致内存信息泄露并以Web进程权限执行任意代码，造成服务器失陷。成功利用要求攻击请求到达同一 worker 进程，利用可靠性依赖于 PHP 构建、扩展、前端行为与内存分配器布局。受影响版本:8.2.35、8.3.36、8.4.27、8.5.12之前的所有版本(官方补丁仅覆盖8.2-8.5受支持分支,更早版本已停止维护)。

解决建议

针对 PHP 8.1 及更早版本：

PHP官方已停止支持，但部分发行版和长期支持（LTS）服务商可能为其提供安全补丁，请联系供应商确认修复情况，或升级到受支持的版本。

针对 PHP 8.2 及其之后版本，PHP官方已发布安全更新版本及其补丁，具体如下：

PHP < 8.2.35（8.2 分支），升级至 8.2.35 或该分支更新版本。

PHP < 8.3.36（8.3 分支），升级至 8.3.36 或该分支更新版本。

PHP < 8.4.27（8.4 分支），升级至 8.4.27 或该分支更新版本。

PHP < 8.5.12（8.5 分支），升级至 8.5.12 或该分支更新版本。

在打补丁或升级PHP版本期间，请保持凤凰云WAF或者凤凰云云防火墙IPS防护模块防护处于启用状态，尽可能的减少暴露风险，但这些措施不能替代 PHP 修复。

暂无法升级时，可由管理员强制设置 memory_limit=-1，重启全部 PHP 工作进程并确认配置未被覆盖；同时在前端限制解码后的请求体大小、上传数量及输入复杂度，不使用 multipart 表单的应用可阻断此类请求。取消内存上限需评估资源耗尽风险，且不应使用 RLIMIT_AS 或 RLIMIT_DATA 作为替代防护。

凤凰云安全中心应用漏洞支持通过采集php-fpm版本进行相关漏洞版本比对检测

参考链接

http://www.openwall.com/lists/oss-security/2026/10/21/6

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619

https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

https://www.php.net/archive/2026.php

https://www.php.net/downloads.php

https://www.wiz.io/blog/php2shell-php-rce