BadouCMS
PHP最新高危漏洞（2026年10月）：影响版本、修复方案及临时解决办法
发布日期：2026 年 10 月 22 日
2026 年 10 月 21 日，PHP 官方紧急发布安全更新，修复了两个严重的远程代码执行漏洞，分别为 CVE-2026-109618 和 CVE-2026-109619。
两个漏洞的 CVSS 4.0 评分均为 9.2 分（严重级别），攻击者在特定条件下无需身份验证，即可能通过恶意 HTTP 请求远程执行代码。
本次漏洞属于 PHP 底层安全问题，使用 ThinkPHP、WordPress、BadouCMS 等 PHP 程序的网站均需关注。
一、漏洞详情
本次主要涉及两个安全漏洞：
1. CVE-2026-109618：内存处理漏洞
PHP 在处理内存不足（OOM）异常时，可能导致内部请求数据未正确初始化，进而引发内存损坏。攻击者可利用特定请求触发漏洞，在满足利用条件时执行恶意代码。
2. CVE-2026-109619：全局状态处理漏洞
PHP 在处理请求时，部分全局状态可能继续引用已经释放的内存，造成释放后使用（Use-After-Free）问题。攻击者可能通过多个特制请求触发该漏洞。
上述漏洞可能影响 PHP-FPM、Apache mod_php、php-cgi 等运行环境，其中 Apache mod_php 的风险尤其值得关注。
二、受影响版本
PHP 官方已经发布对应的安全修复版本。
| 受影响 PHP 版本 | 安全修复版本 |
|---|---|
| PHP 8.5.11 及以下（8.5 分支） | PHP 8.5.12 |
| PHP 8.4.26 及以下（8.4 分支） | PHP 8.4.27 |
| PHP 8.3.35 及以下（8.3 分支） | PHP 8.3.36 |
| PHP 8.2.34 及以下（8.2 分支） | PHP 8.2.35 |
| PHP 8.1 及更早版本 | 建议升级至受支持版本 |
注意：PHP 8.1 及更早版本已经停止官方安全维护，部分系统发行商可能提供补丁回移，但建议尽快迁移至受支持版本。
三、正式修复方案（推荐）
最有效的修复方式是升级 PHP 至官方安全版本。
建议根据当前 PHP 版本，升级至对应分支的最新安全版本。
升级前建议做好以下准备：
- 备份网站文件及数据库。
- 检查网站程序、扩展和插件的 PHP 兼容性。
- 升级 PHP 并重启相关服务。
- 检查网站前后台功能及错误日志。
宝塔面板用户：
进入「软件商店 → 已安装」，找到对应 PHP 版本，查看是否有可用的安全更新。
如果当前版本暂不支持在线更新，可根据实际情况安装安全版本并切换网站运行环境，升级前请先确认兼容性。
四、临时缓解方案（无法立即升级时）
对于暂时无法升级 PHP 的用户，可以通过修改 PHP 配置降低部分攻击路径的风险。
特别说明：以下配置只能临时降低风险，并不能完全修复漏洞。
1. 调整 PHP 内存限制
修改 php.ini：
memory_limit = -1该配置可以减少因 PHP 内存限制触发特定漏洞路径的风险。
但需要注意，取消 PHP 内存限制可能导致服务器内存被大量占用，因此建议配合容器或系统级内存限制使用。内存资源较小的服务器应谨慎调整，不建议无保护地直接使用。
2. 关闭 Session 上传进度功能
修改 php.ini：
session.upload_progress.enabled = 0关闭该功能可以阻断 CVE-2026-109619 已确认的部分攻击路径。
如果网站没有使用 PHP Session 上传进度功能，建议优先关闭。
3. 限制 HTTP 请求大小
修改 php.ini：
post_max_size = 8M对于需要上传文件的网站，可以根据实际需求设置为：
post_max_size = 32M同时确保 upload_max_filesize 小于 post_max_size。
建议配合 Nginx、Apache 或 WAF 限制异常请求大小，降低恶意请求带来的安全风险。
4. PHP 8.5 用户额外配置
如果使用 PHP 8.5，并且暂时无法升级，可以增加：
fatal_error_backtraces = 0此配置可以降低已确认的特定漏洞利用路径带来的风险。
5. 重启 PHP 服务
配置修改完成后，必须重启所有相关 PHP 工作进程，使新配置生效。
宝塔用户可以进入：
「软件商店 → 已安装 → PHP → 设置 → 配置修改」
保存配置后重启 PHP 服务。
需要特别注意，关键配置应尽量在服务端统一设置，避免被网站程序覆盖。例如 memory_limit 可以通过 PHP-FPM 进程池的 php_admin_value 强制设置。session.upload_progress.enabled 必须在请求解析前生效，不能依赖程序运行时的 ini_set()。
五、其他安全建议
除了升级 PHP，还建议网站管理员采取以下措施：
- 开启服务器防火墙及 WAF 防护。
- 限制不必要的文件上传接口。
- 检查 PHP 错误日志及网站访问日志。
- 排查服务器是否存在异常进程、可疑文件或后门。
- 如果怀疑服务器已被入侵，应及时隔离并开展安全排查。
六、总结
本次 PHP 高危漏洞影响范围较广，与具体使用哪一种 CMS 无直接关系。
只要服务器运行受影响版本的 PHP，就可能存在安全风险，实际能否利用取决于运行方式、配置及应用程序等条件。
建议优先升级 PHP 至官方安全版本。暂时无法升级的用户，可以参考上述临时配置降低风险，但不能将其视为完整修复方案。
对于 BadouCMS 用户，建议及时检查服务器 PHP 环境，并在升级前做好备份及兼容性测试。
参考资料：
评论
评论提交后需审核