安全公告：关键远程代码执行漏洞，请立即更新
分享
收藏
评论
作者 🐼
wolfcode
人生一场虚空大梦，韶华白首，不过转瞬。惟有BUG恒在，往复循环，不曾更改。
**PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了两个可能导致未经验证的远程代码执行的严重漏洞。强烈建议所有 PHP 用户立即更新。**
> 谁面临风险： 所有提供 Web 请求的 PHP 安装，包括 PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP 和 LiteSpeed。我们认为 mod_php 的风险最高，因为已经有演示证明，未经身份验证的请求可以在任何应用程序代码运行之前触发攻击。
## 漏洞：
- 通过 OOM 损坏实现 RCE, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): 内存不足处理可能在 PHP 内部请求数据仅部分初始化时中断。随后的请求清理可能会将无效数据视为有效数据。
- 通过陈旧的全局状态实现远程代码执行, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): 请求拥有的内部状态在底层内存被释放后仍可存活。同一工作线程处理的后续请求可能会在正常初始化将其重置之前使用该陈旧状态。
## 如何更新：
- 更新至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35。源代码下载请访问我们的下载页面。Windows 源代码和二进制文件在同一页面。
- Linux 发行版和 LTS 供应商提前收到了这些补丁，请向您的供应商查询更新后的软件包。
- PHP 8.1及更早版本 不再接收PHP项目的更新。某些发行版和LTS供应商提供回溯修复，请联系您的供应商获取详细信息，或升级到受支持的版本。
- 如果您依赖于志愿者维护的 rpms.remirepo.net，我们建议您切换到发行版包或从源代码构建，以便您可以立即应用更新。该仓库今天不会有更新。
- 鉴于这些漏洞的严重性，PHP 安全团队提供了极少的源代码回移植，用于PHP 7.4、PHP 8.0和PHP 8.1，以帮助那些从源代码构建或无法访问 LTS 供应商的人。
### *如果您无法立即更新：虽然仅更新是完整的解决方案，但以下措施可以降低特定攻击路径的风险，但并不能使安装变得安全。*
## 通过 OOM 损坏实现 RCE (CVE-2026-109618)：
- 设置memory_limit=-1，最好以应用程序无法覆盖的方式进行，例如php_admin_value在 FPM 池或 Apache 配置中，并检查没有池、目录或应用程序设置会将其限制为有限值。这消除了可控的 PHP 内存限制失败，但底层的分配失败仍可能导致漏洞路径。
- 设置一个较低的 post_max_size。对于不需要文件上传的应用，请设置 post_max_size = 8M。如果需要文件上传，请设置 post_max_size = 32M。将 upload_max_filesize 保持在 post_max_size 以下。 考虑在 Web 服务器或代理级别强制执行解码请求大小、输入字段数量、多部分部分数量、头部数量和嵌套深度限制。这些限制还必须涵盖没有可用 Content-Length 的请求。
- 将容器或 cgroup 限制用作可用性边界，最好采用仅终止受影响工作进程的策略。不要替换 RLIMIT_AS 或 RLIMIT_DATA，因为这些操作可能导致存在漏洞的分配失败。
## 通过陈旧全局状态实现远程代码执行（CVE-2026-109619）：
- 设置session.upload_progress.enabled=0并重启每个工作进程。使用php.ini，一个在请求解析之前生效的 FPM 池或服务器配置。不要依赖ini_set()或 FPM .user.ini。这会阻止已确认的会话路径，但不会阻止其他变体。
- 在 PHP 8.5 中，设置 fatal_error_backtraces=0 并重启每个工作进程。这仅会阻止已确认的致命回溯路径。
- 移除在初始化前发出诊断信息的、针对每个请求应用的无效或已弃用的设置。使用 error_reporting、display_errors 或 @ 隐藏诊断信息是无济于事的。
- 修复攻击者可达的致命错误和执行超时，包括回调、上传或导入处理以及清理过程中的失败。
> 为了确保项目的安全 请尽量不要使用官方已经不再提供任何安全更新的版本
> 临时策略 可以先将 `session.upload_progress.enabled` 值 设置成 `Off` 或者 `0`
修改后可以通过查看 `phpinfo()` 进行确认
