国家信息安全漏洞共享平台警示：PHP远程代码执行漏洞被评“高危”

根据徽声在线从国家信息安全漏洞共享平台获取的最新消息，2026年10月21日，国家信息安全漏洞共享平台（简称CNVD）正式收录了PHP远程代码执行漏洞的详细信息，该漏洞被标识为CNVD-2026-41674和CNVD-2026-41675，同时对应国际漏洞编号CVE-2026-109618和CVE-2026-109619。这一漏洞允许未经身份验证的远程攻击者通过精心构造的恶意HTTP请求，触发目标服务器内存错误，进而在特定条件下实施拒绝服务攻击、窃取敏感数据或执行远程代码。鉴于漏洞技术细节与概念验证（PoC）已广泛流传，CNVD强烈建议受影响的用户立即采取行动，升级至PHP的最新版本以防范潜在风险。

一、深入剖析PHP远程代码执行漏洞

PHP，作为一种广泛应用的开源通用脚本语言，不仅在Web开发领域占据重要地位，还能无缝嵌入HTML代码中，为Web应用提供强大的功能支持。PHP解释器内核作为全球众多Web应用运行的基础环境，支撑着包括WordPress、Drupal、Joomla、Laravel等在内的主流框架和内容管理系统的稳定运行。

然而，在2026年10月21日，国家信息安全漏洞共享平台披露了PHP解释器内核在内存管理方面存在的逻辑处理缺陷。这一缺陷使得攻击者能够构造特定的HTTP请求，触发程序异常处理流程，导致内部数据状态异常或已释放内存被非法访问，进而引发内存破坏。未经身份验证的远程攻击者正是利用这一漏洞，通过恶意HTTP请求触发内存错误，并在特定条件下实现对目标服务器的多种攻击，包括拒绝服务、敏感数据窃取以及远程代码执行。

CNVD针对此漏洞给出了“高危”的综合评级，警示广大用户务必高度重视。

二、漏洞影响范围详解

目前，已知受此漏洞影响的PHP产品版本范围广泛，具体包括：

1. 8.2.x版本中，8.2.35之前的所有版本均受影响；

2. 8.3.x版本中，8.3.36之前的版本存在安全隐患；

3. 8.4.x版本中，8.4.27之前的版本同样面临风险；

4. 8.5.x版本中，8.5.12之前的版本也未能幸免。

为应对这一漏洞，PHP厂商已迅速发布修复版本，包括PHP8.5.12、8.4.27、8.3.36和8.2.35，用户应及时更新以消除隐患。

此外，该漏洞的影响范围还扩展至基于PHP环境的众多主流CMS和框架，如Magento、WordPress、Drupal、Joomla、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS和OpenCart等，这些系统的用户也需密切关注漏洞动态，及时采取防范措施。

三、漏洞处置与防范建议

针对此次PHP远程代码执行漏洞，PHP安全团队已迅速响应并发布安全公告，详细说明了漏洞情况及修复方案。徽声在线建议广大PHP用户立即开展自查工作，密切关注官方信息发布，通过官方渠道及时下载并更新至最新版本（访问链接：https://www.php.net/archive/2026.php#2026-10-21-5），以确保系统安全稳定运行。