PHP 严重漏洞的两个RCE部分泄露

安全情报
1

有消息说PHP两个严重漏洞的RCE部分泄露，影响 PHP 5.x-8.5 （Linux）
临时缓解措施是在应用的php.ini中配置 session.upload_progress.enabled = Off

Reddit相关漏洞讨论帖子：
https://www.reddit.com/r/linux/comments/1xbas4f/php_security_release/

PHP: News Archive - 2026

CVE-2026-109618 and CVE-2026-109619, both rated CVSS v4.0 9.2. Likely to be patched in 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35. Maybe a partial mitigation:

session.upload_progress.enabled = Off

https://x.com/acd421/status/2112705652208325061

Who is going to patch it first?

Debian
Ubuntu (non-pro)
Fedora
Alma
Rocky
Amazon
CentOS Stream
openSUSE
Arch

image
image1920×1381 132 KB

2

所以他们非要晚上发布补丁的意思，是还没修好么

3

不知道他们具体的工作流程 :doge:
目前看起来是漏洞详情在补丁发布前被提前研究出来了

4

本来是预定是22号发布的，结果漏洞测试工具的截图被泄露出来了，所以PHP将更新提前到 2026年10月21日星期三14:00 UTC

1 个赞
5

特么的吓人，10点钟这个时间，给了所有人准备时间，包括黑客啊

6

可不：晚上10点补丁发布 → 黑客下载 → 扔给AI分析 → 5分钟后扫描器上线 → 15分钟后攻击工具上线

不行就把前端缓存锁死，临时停一下PHP，等PHP更新好了，再重新上线。