AI 客栈
返回首页

PHP 修复两项 RCE 漏洞：四项版本发布，旧分支获最小源码回补

  • 前情提要：此前 Cloudflare 在 php2shell 公开前部署 WAF，PHP 官方已发布安全公告；协调披露过程中 CVE ID 与 PoC 提前流出，发布从 10 月 22 日提前到 10 月 21 日。
  • 最新进展：PHP 官方公告披露 CVE-2026-109618 与 CVE-2026-109619，并发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。前者涉及内存不足时初始化中断，清理流程可能把未完整初始化数据当成有效数据；后者涉及上一请求释放内存后残留的全局状态被同一工作进程后续请求复用。
  • 影响范围：所有处理 Web 请求的 PHP 安装均需关注，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 与 LiteSpeed，其中 mod_php 风险最高，已演示可在应用代码运行前由未认证请求触发。关闭部分功能或限制请求大小只能降低特定路径暴露，完整解决仍是更新。
  • 迁移与复盘：PHP 8.1 及更早版本已结束上游支持，官方因事件严重性额外提供 7.4、8.0、8.1 的最小源码回补；PHP 8.2 分支将在 2026 年 12 月 31 日结束支持。PHP 基金会称 OOM 问题早期迹象在 2024 年审计后已出现，但兼容性、性能、DoS 风险与核心人手不足导致修复停滞；2026 年 8 月 Calif 与 OpenAI 独立报告同一根因后升级为最高优先级。基金会新设生态安全团队、专职人员并引入 AI 辅助验证，7 月以来已发布 15 个 CVE，同时处理超过 100 份无效、重复或不可复现报告。
  • 行业意义：对依赖 PHP 的站点与后端服务，运行时升级仍是根因处置，WAF 只能作为纵深防御；提前泄露与 PoC 误发缩短了防守方窗口，协调披露流程本身已成为风险源。 🔗 PHP 官方公告 | PHP 8.2.35 Release | PHP 基金会复盘 | HN 讨论