CVE-2026-109619 是什么漏洞？
CVE-2026-109619 是 PHP2Shell 两个漏洞中的第二个，PHP 官方安全公告编号 GHSA-6wmf-4rv5-p3rp，标题是“RCE via stale global state”（残留全局状态导致远程代码执行），官方 CVSS 4.0 评分 9.2（严重）。
PHP-FPM、mod_php 这类运行方式会让同一个 worker 进程连续处理很多个请求。每个请求结束时，PHP 会释放这个请求用过的内存。问题在于：某些全局状态里还留着指向这些已释放内存的引用，下一个请求进来时继续使用，就成了典型的“释放后使用”。攻击者如果能控制这些内存里的内容，就可能执行代码。
本站只讲到原理层面，不提供复现或利用细节。
为什么 CVE-2026-109619 特别影响常驻 worker？
正因为 worker 会跨请求复用，一个请求留下的“脏状态”才能影响下一个请求。PHP 官方要求所有处理网页请求的部署都检查更新：PHP-FPM（Nginx、宝塔、1Panel 常用）、mod_php、CGI、FrankenPHP、LiteSpeed 都在其中，不能因为用了 Nginx 或 FPM 就排除。
这也解释了为什么升级后必须重启所有 PHP worker：旧进程不退出，就还在用旧代码。
CVE-2026-109619 影响哪些 PHP 版本？
| 分支 | 首个修复版本 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 及更早 | 无新发行版（7.4、8.0、8.1 有官方源码补丁） |
低于上述版本的 8.2 到 8.5 都受影响。7.4、8.0、8.1 的情况见 PHP 停止维护版本。发行版回移包：
| 供应商 | 版本 | 软件包 | 已修复的包版本 | 状态 |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | 已修复 |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | 已修复 |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | 已修复 |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | 已修复 |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | 已修复 |
| Docker Official Images | — | php | — | 未核实 |
| 宝塔 | — | PHP | — | 未核实 |
| XServer | — | PHP | — | 未核实 |
| ConoHa WING | — | PHP | — | 未核实 |
| ロリポップ！ | — | PHP | — | 未核实 |
| 1Panel | — | 1panel/php | — | 未核实 |
核实于2026年10月21日至2026年10月22日。
CVE-2026-109619 有临时缓解办法吗？
PHP 官方给出两项临时设置，都只能挡住部分已确认路径：
- 关闭
session.upload_progress.enabled：必须写进主配置、在请求解析前生效，并重启所有 worker；ini_set()和 FPM 的.user.ini不起作用。上传进度功能会受影响。 - PHP 8.5 关闭
fatal_error_backtraces：只针对已确认的 fatal backtrace 路径，会减少诊断信息。
官方另外针对 CVE-2026-109618 给出了 memory_limit 和 post_max_size 两项设置。所有临时设置都不是修复，详见 临时缓解措施。
CVE-2026-109619 怎么修复？
和 CVE-2026-109618 一样：升级到修复版本或发行版修复包 → 重启 PHP-FPM 或 Apache → 回到网站复查版本。两个漏洞修复版本相同，一次升级全部修好。
按环境的步骤见 PHP2Shell 修复；不确定自己的版本，先用 PHP2Shell 检测。
依据哪些来源？
- PHP 官方安全公告：RCE via stale global state
- The PHP Group：PHP 安全公告
- Wiz Research：PHP2Shell 原始研究
- Canonical：Ubuntu 安全页面
- 腾讯云：PHP “php2shell” 远程代码执行漏洞风险通告
来源
本页的核心事实（修复版本、CVE 详情、发行版软件包、官方机构的提醒）都来自官方来源；研究报告、新闻和社区讨论已分别标注。
- RCE via stale global state官方 The PHP Group
- Security advisory: Critical remote code execution vulnerabilities, update now官方 The PHP Group
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet研究 Wiz Research
- CVE-2026-109619厂商 Canonical
- 【安全通告】PHP "php2shell" 远程代码执行漏洞风险通告（CVE-2026-109618, CVE-2026-109619）厂商 腾讯云