# PHP 严重漏洞的两个RCE部分泄露

**URL:** <https://meta.appinn.net/t/topic/94094>\
**Category:** 安全情报\
**Tags:** 漏洞\
**Created:** [2026 年10 月 21 日 07:06 UTC](https://meta.appinn.net/t/topic/94094 "2026-10-21T07:06:52Z")\
**Posts on this page:** 6\
**Page:** 1

<div class="post-metadata">

作者： ![Fiend\_FEARing](https://meta-edge.appinn.com/user_avatar/meta.appinn.net/fiend_fearing/32/47535_2.png) [@Fiend\_FEARing](https://meta.appinn.net/u/Fiend_FEARing)\
发布日期： [2026 年10 月 21 日 07:06 UTC](https://meta.appinn.net/t/topic/94094/1 "2026-10-21T07:06:52Z")

</div>

有消息说PHP两个严重漏洞的RCE部分泄露，影响 PHP 5.x-8.5 （Linux）  
临时缓解措施是在应用的php.ini中配置 session.upload\_progress.enabled = Off

> Reddit相关漏洞讨论帖子：  
> [https://www.reddit.com/r/linux/comments/1xbas4f/php\_security\_release/](https://www.reddit.com/r/linux/comments/1xbas4f/php_security_release/)

> [PHP: News Archive - 2026](https://www.php.net/archive/2026.php#2026-10-20-1)
> 
> CVE-2026-109618 and CVE-2026-109619, both rated CVSS v4.0 9.2. Likely to be patched in 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35. Maybe a partial mitigation:
> 
> `session.upload_progress.enabled = Off`
> 
> [https://x.com/acd421/status/2112705652208325061](https://x.com/acd421/status/2112705652208325061)
> 
> Who is going to patch it first?
> 
> Debian  
> Ubuntu (non-pro)  
> Fedora  
> Alma  
> Rocky  
> Amazon  
> CentOS Stream  
> openSUSE  
> Arch

 ![image](https://h2cdn.appinn.me/original/3X/6/c/6c4d838fb6864ac796a94b659fc2694a7b522379.jpeg)

---

<div class="post-metadata">

作者： ![Qingwa](https://meta-edge.appinn.com/user_avatar/meta.appinn.net/qingwa/32/58632_2.png) [@Qingwa](https://meta.appinn.net/u/Qingwa)\
发布日期： [2026 年10 月 21 日 07:17 UTC](https://meta.appinn.net/t/topic/94094/2 "2026-10-21T07:17:47Z")

</div>

所以他们非要晚上发布补丁的意思，是还没修好么

---

<div class="post-metadata">

作者： ![Fiend\_FEARing](https://meta-edge.appinn.com/user_avatar/meta.appinn.net/fiend_fearing/32/47535_2.png) [@Fiend\_FEARing](https://meta.appinn.net/u/Fiend_FEARing)\
发布日期： [2026 年10 月 21 日 07:56 UTC](https://meta.appinn.net/t/topic/94094/3 "2026-10-21T07:56:44Z")

</div>

不知道他们具体的工作流程 :doge:  
目前看起来是漏洞详情在补丁发布前被提前研究出来了

---

<div class="post-metadata">

作者： ![tjsky](https://meta-edge.appinn.com/user_avatar/meta.appinn.net/tjsky/32/31059_2.png) [@tjsky](https://meta.appinn.net/u/tjsky)\
发布日期： [2026 年10 月 21 日 07:59 UTC](https://meta.appinn.net/t/topic/94094/4 "2026-10-21T07:59:45Z")

</div>

本来是预定是22号发布的，结果漏洞测试工具的截图被泄露出来了，所以PHP将更新提前到 **2026年10月21日星期三14:00 UTC**

---

<div class="post-metadata">

作者： ![Qingwa](https://meta-edge.appinn.com/user_avatar/meta.appinn.net/qingwa/32/58632_2.png) [@Qingwa](https://meta.appinn.net/u/Qingwa)\
发布日期： [2026 年10 月 21 日 08:00 UTC](https://meta.appinn.net/t/topic/94094/5 "2026-10-21T08:00:52Z")

</div>

特么的吓人，10点钟这个时间，给了所有人准备时间，包括黑客啊

---

<div class="post-metadata">

作者： ![tjsky](https://meta-edge.appinn.com/user_avatar/meta.appinn.net/tjsky/32/31059_2.png) [@tjsky](https://meta.appinn.net/u/tjsky)\
发布日期： [2026 年10 月 21 日 08:05 UTC](https://meta.appinn.net/t/topic/94094/6 "2026-10-21T08:05:33Z")

</div>

> [@Qingwa](#):
>
> 10点钟这个时间，给了所有人准备时间，包括黑客啊

可不：晚上10点补丁发布 → 黑客下载 → 扔给AI分析 → 5分钟后扫描器上线 → 15分钟后攻击工具上线

不行就把前端缓存锁死，临时停一下PHP，等PHP更新好了，再重新上线。