KnowSafe 安全预警：PHP session.upload_progress 远程代码执行漏洞（CVE-2026-109618）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-109618 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

PHP是一款广泛使用的开源服务器端脚本语言，大量网站与应用基于其构建。2026年10月21日，PHP官方发布安全更新，披露其内存耗尽(OOM)错误处理机制中存在堆内存释放后重用漏洞。当请求启动阶段解析 multipart 文件上传等输入的过程中发生内存耗尽时，错误处理机制通过longjmp提前退出当前上下文，而请求内存此时处于尚未完全初始化的临时可达状态，相关状态未被正确清理，请求关闭流程随后读取或基于该无效状态进行处理。未经身份验证的远程攻击者可发送特制的文件上传请求触发该漏洞，导致内存信息泄露并以Web进程权限执行任意代码，造成服务器失陷。成功利用要求攻击请求到达同一 worker 进程，利用可靠性依赖于 PHP 构建、扩展、前端行为与内存分配器布局。受影响版本:8.2.35、8.3.36、8.4.27、8.5.12之前的所有版本(官方补丁仅覆盖8.2-8.5受支持分支,更早版本已停止维护)。

影响范围

系统：alibaba_cloud_linux_2.1903 php（影响面 Up to (excluding) 5.4.16-48.2.al7）

系统：alibaba_cloud_linux_3 php（影响面 Up to (excluding) 7.4.33-8.0.1.al8）

系统：alma_linux_9 php（影响面 Up to (excluding) 8.0.30-8.el9_8.1）

系统：alpine_3.21 php82（影响面 Up to (excluding) 8.2.35-r0）

系统：alpine_3.22 php82（影响面 Up to (excluding) 8.3.36-r0）

系统：amazon_2 php（影响面 Up to (excluding) 8.2.35-1.amzn2.0.1）

系统：amazon_2023 php8.3（影响面 Up to (excluding) 8.3.36-1.amzn2023.0.1）

系统：amazon_2023 php8.5（影响面 Up to (excluding) 8.5.12-1.amzn2023.0.1）

……另有 8 项受影响环境，详见官方公告

解决方案

针对 PHP 8.1 及更早版本：

PHP官方已停止支持，但部分发行版和长期支持（LTS）服务商可能为其提供安全补丁，请联系供应商确认修复情况，或升级到受支持的版本。

针对 PHP 8.2 及其之后版本，PHP官方已发布安全更新版本及其补丁，具体如下：

PHP < 8.2.35（8.2 分支），升级至 8.2.35 或该分支更新版本。

PHP < 8.3.36（8.3 分支），升级至 8.3.36 或该分支更新版本。

PHP < 8.4.27（8.4 分支），升级至 8.4.27 或该分支更新版本。

PHP < 8.5.12（8.5 分支），升级至 8.5.12 或该分支更新版本。

在打补丁或升级PHP版本期间，请保持KnowSafe WAF或者KnowSafe 云防火墙IPS防护模块防护处于启用状态，尽可能的减少暴露风险，但这些措施不能替代 PHP 修复。

暂无法升级时，可由管理员强制设置 memory_limit=-1，重启全部 PHP 工作进程并确认配置未被覆盖；同时在前端限制解码后的请求体大小、上传数量及输入复杂度，不使用 multipart 表单的应用可阻断此类请求。取消内存上限需评估资源耗尽风险，且不应使用 RLIMIT_AS 或 RLIMIT_DATA 作为替代防护。

KnowSafe云安全中心应用漏洞支持通过采集php-fpm版本进行相关漏洞版本比对检测