【安全预警】关于 PHP 内核重大远程代码执行风险的防范与修复提醒
【安全预警】关于 PHP 内核重大远程代码执行风险的防范与修复提醒
发布日期：2026年10月23日
近日，安全监测发现 PHP 官方底层内核披露了两项高危远程代码执行安全风险（漏洞编号：CVE-2026-109618、CVE-2026-109619）。经应急响应团队研判，该风险涉及底层内存管理机制，可能对基于相关运行环境的 Web 应用及服务器安全造成重大影响。特发布此风险提醒与近期应急处置指引。
一、 风险概述与影响范围
风险等级：严重（Critical）
影响组件：PHP 8.5 全系子版本
风险成因：由于 Zend 引擎底层垃圾回收机制（GC）在特定对象处理时存在内存管理缺陷，远程攻击者可通过构造特制的并发异常请求引发堆内存破坏，进而劫持程序执行流，在无需账号鉴权、无需文件上传入口的情况下实现远程任意命令执行。
潜在危害：一旦系统遭到利用，攻击者可直接获取 Web 服务进程权限（如
www-data），读取系统源码、窃取核心配置与数据库凭据，甚至可能引发进一步的提权与内网横向扩散风险。
二、 修复进展说明
目前，官方安全响应团队已紧急启动漏洞分析与修复加固工作：
官方补丁跟进：正在对底层运行环境的最新安全补丁进行全面兼容性与稳定性测试，正式修复升级包将于近几天内正式发布。
缓解方案验证：针对无法即刻热更新底层运行库的生产环境，团队正在验证基于 Web 应用防火墙（WAF）及临时运行时参数的防御规则，最大程度降低暴露面。
三、 临时应急与防范建议
在官方正式升级补丁发布前，建议各系统管理员与运维团队先采取以下临时缓解措施：
阻断外网访问：
立即对涉及受影响环境的 Web 服务收敛公网访问入口。可通过防火墙、安全组或网关策略限制外部公网流量，仅允许受信任的内网 IP 地址或通过企业内部 VPN 接入访问，隔绝来自互联网的探测与利用请求。
禁止 PHP 上传文件功能：
在 PHP 配置文件（
php.ini）中将文件上传功能全局禁用：file_uploads = Off修改保存后需平滑重启或重载 PHP-FPM / Web 服务进程以使其生效，降低潜在的恶意文件投递与交互利用风险。
我们将在官方补丁及加固方案发布后第一时间更新此公告，请持续关注并及时安排后续维护与升级。
大蚂蚁安全响应中心
2026年10月23日
