PHP 爆两个未认证 RCE 严重漏洞，8.5.12 等四个修复版紧急发布
cyber_forecast · x · 2026-10-21
PHP 官方发布安全通告：两个可致未认证远程代码执行的严重漏洞，影响所有处理 Web 请求的 PHP 安装（PHP-FPM、modphp、php-cgi、FrankenPHP、LiteSpeed），其中 modphp 风险最高——已证实无需认证的请求可在任何应用代码运行前触发攻击。
两个漏洞分别为：
- CVE-2026-109618：OOM（内存耗尽）处理可能在中断请求时留下仅部分初始化的内部数据，清理阶段误将其当作有效数据；
- CVE-2026-109619：请求内部的 state 在底层内存被释放后仍残留，同一 worker 处理的后续请求可能在正常初始化前使用过期状态。
修复版为 PHP 8.5.12、8.4.27、8.3.36、8.2.35，官方强烈建议立即升级；Linux 发行版与 LTS 厂商已提前拿到补丁。PHP 8.1 及更早版本已停止官方支持。依赖 remirepo 的用户被敦促改用发行版包或自行编译，因该仓库当日不会提供更新。
所属事件:PHP 爆 php2shell 双未认证 RCE 漏洞，OpenAI 模型参与发现(49 条相关)→
「编程与Agent」频道最新
- OpenAI 将 Codex for OSS 资助全升级为 Pro 200 档 — jxnlco · 2026-10-22
- Sodabase 发布:自动检测并修复 agent 搞坏的 Supabase 数据表 — santiviquez · 2026-10-22
- MCP Inspector 一包三端：Web、CLI、TUI 统一调试 MCP 服务器 — craigsdennis · 2026-10-22
- 开发者用 ChatGPT Sites 造人机同玩的 Cookie Clicker demo — craigsdennis · 2026-10-22
- 研究者发 OPAL：让 agent 训练中实时重写优化器源码 — vincesitzmann · 2026-10-22
- 投资人称 CUDA 护城河正被悄然瓦解：Codex 可直接重写 AMD 内核 — paigeinsf · 2026-10-22