2026年10月21日安全公告：关键的远程代码执行漏洞，立即更新PHP 8.5.12、8.4.27、8.3.36和8.2.35修复两个关键漏洞，这些漏洞可能允许未经身份验证的远程代码执行。所有PHP用户强烈建议立即更新。谁面临风险：所有提供网络请求的PHP安装，包括PHP-FPM、带mod_php的Apache、php-cgi、FrankenPHP和LiteSpeed。我们认为mod_php的风险最高，已证明的漏洞利用案例表明，未经身份验证的请求可以在任何应用程序代码运行之前触发攻击。漏洞：通过OOM损坏的RCE，CVE-2026-109618（GHSA-w8hw-w9fx-j79w）：内存不足的处理可以在内部请求数据仅部分初始化时中断PHP。请求清理可能将无效数据视为有效。通过陈旧全局状态的RCE，CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：请求拥有的内部状态可以在其后备内存被释放后存活。由同一工作进程处理的后续请求可能会在正常初始化重置之前使用该陈旧状态。如何更新：更新到PHP 8.5.12、8.4.27、8.3.36或8.2.35。源代码下载请访问我们的下载页面。Windows源代码和二进制文件也在同一页面上。Linux发行版和LTS供应商提前收到了补丁，因此请检查您的供应商以获取更新包。PHP 8.1及更早版本不再接收PHP项目的更新。一些发行版和LTS供应商提供向后移植的修复，因此请联系您的供应商以获取详细信息，或升级到受支持的版本。如果您依赖于由志愿者维护的rpms.remirepo.net，我们建议您切换到发行版包或从源代码构建，以便您可以立即应用更新。该存储库今天不会有更新。鉴于这些漏洞的严重性，PHP安全团队为PHP 7.4、PHP 8.0和PHP 8.1提供了最小的源代码向后移植，以帮助那些从源代码构建或无法访问LTS供应商的人。如果您无法立即更新：虽然只有更新才是完整的解决方案，但以下措施可以减少特定攻击路径的暴露，但不能使安装安全。通过OOM损坏的RCE（CVE-2026-109618）：设置memory_limit=-1，最好以应用程序无法覆盖的方式设置，例如在FPM池或Apache配置中使用php_admin_value，并检查没有池、目录或应用程序设置重新设置有限限制。这消除了可控的PHP内存限制故障，但潜在的分配故障仍然可以到达易受攻击的路径。设置较低的post_max_size。对于不需要文件上传的应用程序，设置post_max_size = 8M。如果文件上传是必要的，设置post_max_size = 32M。保持upload_max_filesize低于post_max_size。考虑在Web服务器或代理级别强制限制解码请求大小、输入字段计数、多部分部分计数、头部计数和嵌套深度。这些限制还必须涵盖没有可用Content-Length的请求。使用容器或cgroup限制作为可用性边界，最好使用仅终止受影响工作进程的策略。不要替代RLIMIT_AS或RLIMIT_DATA，因为这些可能导致易受攻击的分配失败。通过陈旧全局状态的RCE（CVE-2026-109619）：设置session.upload_progress.enabled=0并重启每个工作进程。使用php.ini、FPM池或请求解析之前应用的服务器配置。不要依赖ini_set()或FPM .user.ini。这阻止了确认的会话路径，但不包括其他变体。在PHP 8.5上，设置fatal_error_backtraces=0并重启每个工作进程。这仅阻止确认的致命回溯路径。移除在初始化之前发出诊断的无效或已废弃设置。通过error_reporting、display_errors或@隐藏诊断没有帮助。修复攻击者可达的致命错误和执行超时，包括回调、上传或导入处理和清理中的失败。上述链接的公告中包含所有技术细节。2026年10月21日发布PHP 8.5.12！PHP开发团队宣布PHP 8.5.12的立即可用性。这是一个安全版本，修复了两个关键漏洞（CVE-2026-109618，CVE-2026-109619），可能允许未经身份验证的远程代码执行。所有PHP 8.5用户强烈建议立即更新。没有完整的缓解措施，更新是唯一安全的选择。有关详细信息，请参见安全公告。有关PHP 8.5.12的源代码下载，请访问我们的下载页面，Windows源代码和二进制文件也可以在此找到。更改列表记录在ChangeLog中。2026年10月21日发布PHP 8.4.27！PHP开发团队宣布PHP 8.4.27的立即可用性。这是一个安全版本，修复了两个关键漏洞（CVE-2026-109618，CVE-2026-109619），可能允许未经身份验证的远程代码执行。所有PHP 8.4用户强烈建议立即更新。没有完整的缓解措施，更新是唯一安全的选择。有关详细信息，请参见安全公告。