旧版本php安全漏洞修复方法(CVE-2026-109618)(CVE-2026-109619)

小樱

旧版本php安全漏洞修复方法(CVE-2026-109618)(CVE-2026-109619)

第一个漏洞：内存溢出产生oom杀死php进程
第二个漏洞：上传时产生的临时分块文件在释放后依旧可被在内存中读取并且恢复出原文件

意思是老旧版本的php有可能受影响，没有明确列出来受影响版本
官方提供了7.4， 8.0， 8.1， 8.2， 8.3， 8.4， 8.5的更新补丁，对于更老旧的版本请查看Linux发行版和LTS厂商是否有更新的包，详情请联系你的供应商，或升级到当前支持的版本。

官方提供的旧版本解决办法
如果您无法立即更新：虽然只有更新才是完整的解决方案，但以下措施可以保证安全。
php.ini 限制较低的 post_max_size避免内存泄漏
设置 session.upload_progress.enabled=0 并且重启php进程

什么情况受影响
提供上传功能的网站（唯一不清楚的是漏洞是否需要有上传功能，还是只要是个任意php页面即可触发，打分这么高应该是任意页面可实现）

不受影响版本，该漏洞相关代码从5.4版本引入
5.2 - 5.3

影响版本
5.4 - 5.6
7.0 - 7.4
8.0 - 8.1
< 8.2.35
< 8.3.36
< 8.4.27
< 8.5.12

解决办法，找到 php-templete.ini 文件

1. ;session.upload_progress.enabled = On

复制代码

下方增加一行并且重启php进程，新增加的这行前面不要带分号

1. session.upload_progress.enabled = Off

复制代码

oom那个其实不太建议改，改了后会变成系统oom
主要影响就是session.upload_progress.enabled 这个开关

虽然但是，所以说了更新才是最好的的解决办法，php官方还特别为 7.4， 8.0， 8.1 提供了修复补丁
https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619
https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619
https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619

具体查阅官方说明
https://www.php.net/archive/2026.php#2026-10-21-5

对于另一个爆内存的那个无所谓，不建议改，改了后会导致系统oom，改成-1不限制内存来防止进程杀死，神仙修复操作
想要解决另一个问题，最好是更新php版本，这个就类似多年前php的multipart/form-data漏洞，一个针对cpu，这个新漏洞针对内存

chnfsx

用的论坛一件脚本 安装的php 5.6 是不是都不行了啊  有解决方法没有

小樱

chnfsx 发表于 2026/10/22 20:43
用的论坛一件脚本 安装的php 5.6 是不是都不行了啊  有解决方法没有

php5.6当前解决办法是修改 php-templete.ini 文件解决，或者先降级版本到php5.3版运行
要看后续有没有人移植补丁到php5.6上修复