报告发现关键的 PHP 远程代码执行漏洞

有关 PHP 编程语言中两个关键远程代码执行 (RCE) 漏洞的报告已经出现，这些漏洞的保留 CVE 编号分别为 CVE-2026-109618 和 CVE-2026-109619。据报道，这些漏洞的 CVSS 评分为 10.0，这是最高的严重程度评级，表明它们可能允许攻击者在服务器上执行任意代码。该问题的范围非常广泛，因为据称这些漏洞影响从版本 5 开始的所有 PHP 版本。

技术细节表明，这些缺陷涉及 PHP 的 `session.upload_progress` 处理程序中的两个堆内存释放后使用 (use-after-free) 原语。由于 PHP 为互联网的大大部分提供支持，包括 WordPress、Laravel、Drupal、Joomla 和 Magento 等主要平台，因此潜在影响非常广泛。一些报告表明，大约 70% 的所有网站可能受到影响。此外，人们担心较旧的 PHP 版本，特别是版本 5 和 7，可能无法获得修复这些缺陷所需的紧急安全补丁。

针对这些报告，各种缓解策略已被讨论。一种建议的方法是在 `php.ini` 配置文件中设置 `session.upload_progress.enabled = Off` 来禁用受影响的功能。然而，一些报告指出，仅靠配置更改可能不足以完全保护系统，且需要对 PHP 引擎进行核心补丁。其他建议的措施包括在 Web 服务器级别拦截多部分请求，或者在极端情况下，在正式补丁发布并应用之前，将面向互联网的应用程序与公共网络隔离。有关修复方案的官方公告预计将于 2026 年 10 月下旬发布。