cve-2026-109619是php core高危远程代码执行漏洞，cvss v4.0评分9.2，攻击者通过特制multipart post请求触发内存破坏，影响php 8.2.35/8.3.36/8.4.27/8.5.12之前版本。
PHP2Shell（CVE-2026-109618 / CVE-2026-109619）影响多个活跃支持的 PHP 主流版本，但不包括已停止官方维护的老版本。
明确受影响的版本范围
根据 PHP 官方 10 月 21 日发布的安全更新，以下版本在修复前存在漏洞：
- PHP 8.5.x：早于 8.5.12
- PHP 8.4.x：早于 8.4.27
- PHP 8.3.x：早于 8.3.36
- PHP 8.2.x：早于 8.2.35
PHP 8.1 及更早版本的情况
PHP 8.1 已于 2026 年初结束生命周期，不再接收安全更新；PHP 7.4、7.3 等更老版本同样无补丁。虽然部分研究指出漏洞逻辑理论上可复现在旧版本中，但官方未确认、也未提供修复，因此不保证兼容或可利用。生产环境若仍在使用这些版本，应优先考虑升级路径而非仅依赖补丁。
为什么不是“所有 PHP 版本”都中招
漏洞根因聚焦在 session.upload_progress 的内存管理机制，该功能在 PHP 8.2+ 中被深度重构，而早期版本（如 5.6、7.0）虽含类似逻辑，但内存生命周期处理方式不同。长亭等团队复现时，稳定触发仅限于 8.2–8.5 的特定构建链路，PHP 5.x / 7.x 尚无公开可靠利用案例。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
