PHP 项目于近日发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 四个维护版本，修复两个允许未经身份验证远程执行代码的高危漏洞。官方建议所有 PHP 用户立即升级至对应版本。
第一个漏洞编号为 CVE-2026-109618（GHSA-w8hw-w9fx-j79w），与内存溢出处理有关。当内部请求数据仅完成部分初始化时，PHP 的处理流程可能被中断，而请求清理机制有可能将这类无效数据误判为有效数据并继续处理，从而为攻击者提供利用空间。
第二个漏洞编号为 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp），涉及请求内部状态的残留问题。归属于某个请求的内部状态在其底层内存被释放后仍可能保留，同一工作进程处理的后续请求可能在正常初始化重置该状态之前读取并使用这一陈旧状态，进而造成越权或代码执行风险。
两个漏洞的共同点在于均无需身份验证即可触发，且影响范围覆盖 PHP 8.2 至 8.5 多个仍在维护的分支。PHP 作为广泛部署于 Web 服务端的开源脚本语言，其运行时漏洞一旦被利用，可能直接影响对外提供服务的应用系统。此次四个分支同步发布补丁，也说明维护团队将修复范围扩展至较低版本分支。
对于使用 PHP 构建业务系统的企业而言，服务端运行时的高危漏洞通常需要纳入常规补丁管理流程。建议运维与开发团队核对当前部署版本，评估升级窗口，并在测试环境验证后尽快完成生产环境更新，同时排查是否存在依赖旧版本且短期无法升级的遗留服务。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
