PHP紧急修复两项严重漏洞，官方敦促用户立即升级
现在，此时此刻 PHP 团队发布安全更新，修复两项可能让攻击者无需登录即可远程执行代码的严重漏洞。官方敦促用户立即安装PHP 8.5.12、8.4.27、8.3.36或8.2.35。两项漏洞的CVSS 4.0评分均为9.2 分。
风险涉及所有处理网页请求的PHP部署，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。其中，mod_php风险最高：已有验证表明，攻击可在网站业务代码运行前触发。不同部署方式的具体利用条件有所区别。
漏洞分别为CVE-2026-109618和CVE-2026-109619。前者源于内存不足时的异常处理，可能让未完成初始化的数据进入清理流程；后者源于内存释放后，相关内部状态未被清除，后续请求可能继续使用失效状态。攻击者可能借此以网站工作进程的权限执行代码。
官方强调，调整配置只能阻断部分攻击路径，安装完整补丁才是根本解决办法。Linux用户应核查发行版或长期支持供应商的更新包。PHP 8.1及更早版本已停止官方常规维护；鉴于漏洞严重性，团队此次额外提供7.4、8.0和8.1的最小源码修复补丁，供自行编译等场景使用。
PHP
科技圈· 茶馆 · 投稿
0 评论