通知公告

关于PHP远程代码执行漏洞的风险提示

各单位：

近日，PHP官方公开修复并披露两个高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）。攻击者在特定条件下可利用上述漏洞控制服务器，造成网页篡改、数据泄露、服务器控制权限被获取等后果。

截至10月29日，网络与信息中心已完成首轮排查；对发现存在问题的系统，已通知相关单位系统管理员。请收到通知的单位迅速完成处置。同时，请各单位迅速组织相关供应商深入开展自查，发现问题的请立即整改。

一、受影响版本

二、修复建议

（一）官方修复方案

尽快升级至PHP 8.2.35、8.3.36、8.4.27、8.5.12或对应分支后续安全版本。PHP 8.1及以下版本已停止官方维护，不再提供修复补丁，应尽快迁移至受支持版本，或采取临时缓解和防护措施。

PHP官方安全发布公告：

https://www.php.net/archive/2026.php

PHP官方更新修复版本：

https://www.php.net/downloads.php

（二）临时应急防护措施（暂无法升级环境立即执行）

1. 关闭高危攻击入口：修改php.ini全局配置，关闭上传进度统计功能。修改配置后重启PHP服务。该措施可阻断当前已知的部分攻击链路，降低被利用风险，但不能替代官方补丁。

2.会话安全加固 ：建议设置：session.use_strict_mode=1，降低会话伪造风险；该措施不能替代官方补丁。

3.最小权限运行：PHP进程禁止使用root、管理员等高权限账户运行，限制程序权限范围，降低被攻陷后的破坏能力。

4.安全日志监测：持续监测PHP进程异常退出、系统异常命令调用、陌生进程创建、异常文件写入等行为，留存日志用于溯源分析。

请各单位高度重视，尽快做好自查和防护，确保系统安全稳定运行。同时加强网络安全监测，及时排查并处置网络攻击事件，重要情况及时报网络与信息中心。

联系电话：0993-2057910

石河子大学网络与信息中心

2026年10月29日