全校各单位：

2026年10月21日，国家信息安全漏洞共享平台（CNVD）收录了PHP远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619）。未经身份验证的远程攻击者可构造恶意HTTP请求触发内存错误，在特定条件下实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。目前，漏洞技术细节与PoC已广泛传播。

一、PHP简介

PHP是一种广泛使用的开源通用脚本语言，适用于Web开发并可嵌入HTML中。PHP解释器内核为全球多数Web应用运行提供了基础运行时环境，包括WordPress、Drupal、Joomla、Laravel等主流框架和内容管理系统。

CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

目前，已知受漏洞影响的PHP产品版本包括：

1、8.2.35版本之前的8.2.x版本；

2、8.3.36版本之前的8.3.x版本；

3、8.4.27版本之前的8.4.x版本；

4、8.5.12版本之前的8.5.x版本。

此外，该漏洞还影响Magento、WordPress、Drupal、Joomla、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart等基于PHP环境的主流CMS和框架。

三、漏洞处置建议

1、修复建议。目前，PHP官方已发布最新版本（8.5.12、8.4.27、8.3.36、8.2.35）修复该漏洞，详见（https://www.php.net/archive/2026.php#2026-10-21-5），建议受影响用户及时更新至安全版本，消除安全隐患，严防发生网络攻击事件）。

2、缓解建议。暂无法更新的用户可采取以下措施减少部分攻击路径，缓解漏洞威胁：

1）PHP-FPM可设置memory_limit=-1移除可预测的单次请求内存限制；mod_php可关闭会话上传进度功能与fatal backtrace：全局设置session.upload_progress.enabled=0（PHP 8.5可设置fatal_error_backtraces=0），并重启全部工作进程或Web服务器。

2）阻断跨请求状态传递，此方式会降低服务性能。FPM池pm.max_requests=1，mod_php对应Apache的MaxRequestsPerChild=1。

3）持续监测PHP进程异常退出、系统异常命令调用、陌生进程创建、异常文件写入等行为，留存日志用于溯源分析。

请各单位高度重视，切实提高思想认识，压实网络安全主体责任，进一步加强安全防护。全面梳理本单位网络资产，按照非必要不上网原则，缩小信息系统的公网暴露面；暂不具备修复条件的单位应采取网络隔离、网络访问限制、非必要业务系统下线等临时性应对措施。

网络安全和信息化领导小组办公室

2026年10月23日