PHP 爆两个未认证 RCE 关键漏洞，8.5.12 等四版本紧急修复
cyb3rops · x · 2026-10-21
PHP.net 发布安全公告：PHP 8.5.12、8.4.27、8.3.36、8.2.35 修复两个可致未认证远程代码执行（RCE）的关键漏洞，所有服务 Web 请求的 PHP 部署均建议立即升级。
漏洞详情
- CVE-2026-109618（OOM corruption）：内存耗尽处理可能打断尚在初始化中的请求，清理流程把无效内部数据当有效处理，可被利用执行代码。modphp 风险最高，已有演示：未认证请求可在任何应用代码运行前触发攻击。
- CVE-2026-109619（stale global state）：请求内部状态在其内存被释放后残留，同一 worker 处理的下一个请求可能在正常初始化前使用这些过期状态。
受影响面：PHP-FPM、Apache modphp、php-cgi、FrankenPHP、LiteSpeed 等。PHP 8.1 及更老版本已停止官方更新。
临时缓解（无法立即升级时）：对 OOM 漏洞可设置不可覆盖的 memorylimit=-1、压低 postmaxsize（无需上传时设 8M）、用容器/cgroup 限制只杀死受影响 worker；对 stale state 漏洞可设 session.uploadprogress.enabled=0 并重启所有 worker，PHP 8.5 可设 fatalerrorbacktraces=0。remirepo 第三方仓库今日无更新，官方建议改用发行版包或自行编译。
所属事件:PHP 爆 php2shell 双未认证 RCE 漏洞，OpenAI 模型参与发现(49 条相关)→
「编程与Agent」频道最新
- OpenAI 将 Codex for OSS 资助全升级为 Pro 200 档 — jxnlco · 2026-10-22
- Sodabase 发布:自动检测并修复 agent 搞坏的 Supabase 数据表 — santiviquez · 2026-10-22
- MCP Inspector 一包三端：Web、CLI、TUI 统一调试 MCP 服务器 — craigsdennis · 2026-10-22
- 开发者用 ChatGPT Sites 造人机同玩的 Cookie Clicker demo — craigsdennis · 2026-10-22
- 研究者发 OPAL：让 agent 训练中实时重写优化器源码 — vincesitzmann · 2026-10-22
- 投资人称 CUDA 护城河正被悄然瓦解：Codex 可直接重写 AMD 内核 — paigeinsf · 2026-10-22