2026 年 10 月 21 日，php 官方发布紧急安全更新。

php 8.5.12、8.4.27、8.3.36、8.2.35 修复两个可导致未授权远程代码执行的漏洞，CVSS v4.0 均为 9.2：

CVE-2026-109618：内存耗尽（OOM）时请求内部数据只初始化一半，清理逻辑把非法数据当合法数据处理。

CVE-2026-109619：请求内部状态在内存释放后仍存活，同一 worker 的后续请求会复用它（use-after-free）。

一、漏洞详情及影响范围

1. CVE-2026-109618：内存耗尽处理异常导致远程代码执行

2. CVE-2026-109619：全局状态残留导致远程代码执行

二、PHP 官方已发布安全修复版本

10 月 21 日，PHP 官方发布以下安全修复版本：

PHP 分支	安全修复版本
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

以上版本均包含针对本次两项严重漏洞的安全修复。

宝塔面板已同步更新部分 PHP 安全修复版本，用户可直接通过面板软件商店完成升级。

具体已开放升级的版本，请以宝塔面板软件商店实际显示为准。

宝塔面板升级方法

登录宝塔面板。

进入左侧菜单「软件商店 → 已安装」。

点击 右上角 - 更新软件列表 

找到当前网站正在使用的 PHP 版本，进入对应管理页面。

检查可用更新，按照提示升级至对应安全修复版本。

升级完成后，确认 PHP 版本，并检查网站及相关业务是否正常运行。

建议升级前做好网站及相关配置备份，并根据业务情况选择合适的升级时间。

如果服务器安装了多个 PHP 版本，请分别检查实际使用情况，避免遗漏仍在运行的旧版本。

PHP 5.6 - 7.4 版本仍需等待宝塔官方更新。。

cpanel - directadmin 面板升级方法

目前 cpanel 以及 directadmin 已完成所有PHP 版本的漏洞修复。 cpanel 在软件商店，directadmin 在 CB 列表页面内点击更新即可。

三、暂时无法升级的临时缓解措施

对于暂时无法完成 PHP 升级的用户，PHP 官方提供了部分临时缓解建议。

需要特别说明的是，以下措施只能降低特定漏洞利用路径的风险，不能彻底修复本次漏洞。

1. 针对 CVE-2026-109619

关闭 PHP Session 上传进度跟踪功能。

登录宝塔面板，进入：

「软件商店 → PHP → 设置 → 配置修改」

找到对应 PHP 的 php.ini 配置文件，修改以下参数：

session.upload_progress.enabled = 0

如果使用 PHP 8.5，还可增加：

fatal_error_backtraces = 0

保存配置后，重启对应 PHP 服务，确保所有 PHP 工作进程重新加载配置。

上述配置是 PHP 官方针对 CVE-2026-109619 已确认攻击路径提供的缓解措施，但不能完全排除其他利用方式。

2. 针对 CVE-2026-109618

PHP 官方建议通过调整内存及请求限制，降低漏洞利用风险。

（1）合理限制 POST 请求大小

可根据实际业务情况，在 php.ini 中调整：

不需要大文件上传的业务，可参考：

post_max_size = 8M

需要文件上传的业务，可参考：

post_max_size = 32M

同时确保 upload_max_filesize 小于 post_max_size，并根据业务需求调整具体数值。

如果网站存在大文件上传、数据导入等功能，请谨慎修改，避免影响正常业务。

（2）评估 PHP 内存限制及资源隔离

PHP 官方还提出，可通过设置：

memory_limit = -1

降低攻击者利用 PHP 内存限制触发相关漏洞的风险。

但需要注意，该配置会取消 PHP 自身的内存限制。

不建议普通用户在缺少资源隔离的情况下直接使用。仅建议具备相关运维经验的用户，在配置容器或 cgroup 内存限制、确保不会影响整机稳定性的前提下评估使用。

此外，PHP 官方还建议在 Web 服务器或代理层限制请求体大小、请求参数数量及复杂度等，进一步降低攻击风险。

注意：缓解方案仅用于临时缓解，并不能完全解决。最终方案仍然是建议升级PHP系统版本。

目前 CloudFlare 也提供了该特征的 WAF 防火墙缓解方案。