PHP 会话上传进度处理远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）

2026-10-29

Description

PHP 是广泛使用的开源通用脚本语言，通常以 mod_php、PHP-FPM、php-cgi 等形态承载互联网暴露的网站、接口与后台业务。官方于 2026-10-21 发布安全更新，修复会话上传进度处理路径中的两个内存安全缺陷（CVE-2026-109618、CVE-2026-109619），受影响版本为 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 之前的 8.x 分支以及 8.1 及更早的已停止维护分支，未认证远程攻击者可触发内存破坏并以 PHP 服务进程权限执行任意代码。

Details

CVE: CVE-2026-109618 · CVE.org
Severity: 严重
Type: 代码执行,缓冲区溢出
Published: 2026-10-29
PoC: Not yet public

PoC

None yet. Search at https://trap.biu.life/?ref=poc

References

https://gobysec.net/updates# PHP Session Upload Progress Remote Code Execution Vulnerability (CVE-2026-109618/CVE-2026-109619)