PHP当前高危漏洞是CVE-2026-109618/109619内核级RCE，影响所有启用PHP-FPM或mod_php的服务（含SOAP），修复版本为8.2.35/8.3.36/8.4.27/8.5.12；CVE-2026-91765无权威记录。

目前没有权威来源（CNVD、CVE官方库、PHP官网公告或2026年10–11月主流安全平台）记录编号为 CVE-2026-91765 的 PHP SOAP 扩展漏洞，更不存在“无限递归”相关的已知高危漏洞。

PHP 8.x SOAP 扩展当前已知风险聚焦在 CVE-2026-109618/109619

截至2026年11月初，PHP 社区唯一被广泛确认、紧急修复且影响 SOAP 使用场景的漏洞，是本月发布的两个预认证远程代码执行漏洞：

• CVE-2026-109618：触发于内存耗尽（OOM）后的 longjmp 异常退出，导致未初始化请求内存被后续清理逻辑误用；
• CVE-2026-109619：源于 worker 进程中跨请求的全局状态未重置，造成释放后重用（UAF）。

这两个漏洞不局限于某一个扩展，而是内核级内存管理缺陷，所有启用 PHP-FPM 或 mod_php 的服务均受影响，包括调用 soapclient、处理 WSDL 解析、XML 请求体的 SOAP 应用。攻击者无需登录，仅需构造恶意 HTTP 请求即可触发。

确认你是否真受该漏洞影响

请先验证实际运行环境中的 PHP 版本和部署模式：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• 在 Web 服务环境下执行：php-fpm -v 或 php-fpm8.4 -v（根据实际二进制名）；
• 在 CLI 下执行：php -v（注意：CLI 和 Web 可能版本不同）；
• 检查是否在使用 SOAP：搜索项目中是否存在 new SoapClient(、SoapServer 或 extension=soap 启用记录。

若版本低于以下任一修复版，则必须升级：

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

临时缓解措施（无法立即升级时）

针对 CVE-2026-109618/109619，可降低 SOAP 接口被利用的风险：

• 关闭会话上传进度功能：session.upload_progress.enabled = Off（所有 PHP 8.x 版本均支持）；
• 限制请求体大小：在 Nginx 中设 client_max_body_size 2m;，Apache 中设 LimitRequestBody 2097152；
• 禁用 multipart/form-data 类型的非必要请求：WAF 层拦截含 boundary= 但无明确上传意图的请求；
• 重启全部 PHP-FPM worker 或 Apache/mod_php 进程，确保配置生效。

关于 CVE-2026-91765 的说明

该编号未出现在 NVD、CNVD、MITRE 或 PHP 官方安全通告中。可能是误记、混淆（如将其他语言/CVE 编号套用到 PHP）、或尚未公开披露的内部编号。建议：

• 核查漏洞报告来源是否可信；
• 比对 PHP 官网安全公告页：https://www.php.cn/link/a232176a129c157a9e406cabbd1d9bc6；
• 如确有异常行为（如 SOAP 调用导致进程崩溃、CPU 持续 100%），优先排查 WSDL 文件是否含恶意递归引用、XML 实体爆炸（XXE）或服务端配置不当。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！