PHP 8.5.12 安全版：修复两项可未认证触发的严重 RCE，建议立刻升级

PHP 开发团队宣布 PHP 8.5.12 立即可用。这是一次安全发布，修复两项可导致未认证远程代码执行（RCE）的严重漏洞；同日还放出 8.4.27、8.3.36、8.2.35 等补丁版。官方强烈建议所有用户尽快升级，并明确：没有完整缓解方案，升级才是安全选择。[1][2]

受影响面覆盖对外提供 Web 请求的 PHP 部署，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等。官方认为 mod_php 风险最高，并已演示：未认证请求可在应用代码运行前触发攻击——也就是说，业务层鉴权、WAF 规则如果只挡「进到应用之后」的路径，挡不住这条链。[2]

两项漏洞概要：

• CVE-2026-109618（GHSA-w8hw-w9fx-j79w）：OOM 处理可能在内部请求数据仅部分初始化时打断 PHP，清理阶段把无效数据当有效数据处理，进而导致 RCE

• CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：请求级内部状态在其底层内存释放后仍可能残留；同一 worker 处理后续请求时，可能在正常初始化前误用陈旧状态

临时措施（例如将 memory_limit 设为 -1、收紧 post_max_size、关闭 session.upload_progress.enabled、在 PHP 8.5 关闭 fatal_error_backtraces 等）只能降低部分路径暴露，官方不将其视为已修复。[2]

源码与 Windows 二进制见 PHP 下载页；Linux 发行版与 LTS 厂商已提前拿到补丁，可优先查系统包。PHP 8.1 及更早版本不再由 PHP 项目更新，需向发行商确认回移补丁，或升到仍受支持的大版本。Changelog 将修复日记为 2026 年 10 月 22 日，与 10 月 21 日安全公告同属这一轮紧急发布。[1][2]

来源

[1] PHP 8.5.12 Release Announcement，2026年10月21日，查询日 2026-10-28。

[2] Security advisory: Critical remote code execution vulnerabilities, update now，2026年10月21日，查询日 2026-10-28。

#PHP #PHP8512 #RCE #CVE-2026-109618 #CVE-2026-109619 #安全更新