2026 年 10 月 21 日，PHP 官方正式发布紧急安全更新，修复两项严重安全漏洞：CVE-2026-109618 和 CVE-2026-109619。两项漏洞的 CVSS v4.0 评分均为9.2 分（严重），攻击者可能在未经身份验证的情况下，利用漏洞实现远程代码执行（RCE）。
建议受影响用户尽快升级PHP版本。
PHP 8.2 升级到 8.2.35
PHP 8.3 升级到 8.3.36
PHP 8.4 升级到 8.4.27
PHP 8.5 升级到 8.5.12
其他版本PHP官方已停止更新，以下为官方建议的临时修复方案：
1. 针对 CVE-2026-109619关闭 PHP Session 上传进度跟踪功能。
找到对应 PHP 的 php.ini 配置文件，修改以下参数：
session.upload_progress.enabled = 0
如果默认值是1，改成0
如果默认值是On，改成Off
如果*前面有;注释，删除;
如果使用 PHP 8.5，
还可增加：fatal_error_backtraces = 0
2. 针对 CVE-2026-109618 PHP 官方建议通过调整内存及请求限制，降低漏洞利用风险。
1）合理限制 POST 请求大小可根据实际业务情况，在 php.ini 中调整：
不需要大文件上传的业务，
可参考：post_max_size = 8M
需要文件上传的业务，
可参考：post_max_size = 32M
同时确保 upload_max_filesize 小于 post_max_size，
并根据业务需求调整具体数值。如果网站存在大文件上传、数据导入等功能，请谨慎修改，避免影响正常业务。
建议：
post_max_size = 8M
upload_max_filesize = 8M
2）评估 PHP 内存限制及资源隔离PHP 官方还提出，
可通过设置：memory_limit = -1
降低攻击者利用 PHP 内存限制触发相关漏洞的风险。
但需要注意，该配置会取消 PHP 自身的内存限制。不建议普通用户在缺少资源隔离的情况下直接使用。
仅建议具备相关运维经验的用户，在配置容器或 cgroup 内存限制、确保不会影响整机稳定性的前提下评估使用。
此外，PHP 官方还建议在 Web 服务器或代理层限制请求体大小、请求参数数量及复杂度等，进一步降低攻击风险。
