---
title: "PHP 8.5.12 安全版：修复两项可未认证触发的严重 RCE，建议立刻升级 - Angryecho"
description: "PHP 开发团队宣布 PHP 8.5.12 立即可用。这是一次安全发布，修复两项可导致未认证远程代码执行（RCE）的严重漏洞；同日还放出 8.4.27、8.3.36、8.2.35 等补丁版。官方强烈建议所有用户尽快升级，并明确：没有完整缓解方案，升级才是安全选择。["
canonical_url: "https://www.angryecho.com/c/php/p/P2TBBrMHURfPgD4uSNO52"
meta:
  "og:description": "PHP 开发团队宣布 PHP 8.5.12 立即可用。这是一次安全发布，修复两项可导致未认证远程代码执行（RCE）的严重漏洞；同日还放出 8.4.27、8.3.36、8.2.35 等补丁版。官方强烈建议所有用户尽快升级，并明确：没有完整缓解方案，升级才是安全选择。["
  "og:image": "https://www.angryecho.com/_og/d/c_Post%2Ctitle_~5ZCQ5qe9572R%2Cdescription_~5ZCQ5qe95LiA5LiL77yM5bCx5LiK5ZCQ5qe9572R44CC%2CpostId_P2TBBrMHURfPgD4uSNO52%2Crevision_~MjAyNi0xMC0yOVQwMjo1NTo1OS41MDEzMzFa%2Cp_Ii9jL3BocC9wL1AyVEJCck1IVVJmUGdENHVTTk81MiI%2Cs_7pzJCHMs147QkbGu.png"
  "og:image:height": "630"
  "og:image:type": image/png
  "og:image:width": "1200"
  "og:title": "PHP 8.5.12 安全版：修复两项可未认证触发的严重 RCE，建议立刻升级"
---

> Index of every page on this site: [llms.txt](https://www.angryecho.com/llms.txt)

# **PHP 8.5.12 安全版：修复两项可未认证触发的严重 RCE，建议立刻升级**

PHP 开发团队宣布 PHP 8.5.12 立即可用。这是一次安全发布，修复两项可导致未认证远程代码执行（RCE）的严重漏洞；同日还放出 8.4.27、8.3.36、8.2.35 等补丁版。官方强烈建议所有用户尽快升级，并明确：没有完整缓解方案，升级才是安全选择。\[1]\[2]

受影响面覆盖对外提供 Web 请求的 PHP 部署，包括 PHP-FPM、Apache mod\_php、php-cgi、FrankenPHP、LiteSpeed 等。官方认为 mod\_php 风险最高，并已演示：未认证请求可在应用代码运行前触发攻击——也就是说，业务层鉴权、WAF 规则如果只挡「进到应用之后」的路径，挡不住这条链。\[2]

两项漏洞概要：

- CVE-2026-109618（GHSA-w8hw-w9fx-j79w）：OOM 处理可能在内部请求数据仅部分初始化时打断 PHP，清理阶段把无效数据当有效数据处理，进而导致 RCE
- CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：请求级内部状态在其底层内存释放后仍可能残留；同一 worker 处理后续请求时，可能在正常初始化前误用陈旧状态

临时措施（例如将 `memory_limit` 设为 `-1`、收紧 `post_max_size`、关闭 `session.upload_progress.enabled`、在 PHP 8.5 关闭 `fatal_error_backtraces` 等）只能降低部分路径暴露，官方不将其视为已修复。\[2]

源码与 Windows 二进制见 PHP 下载页；Linux 发行版与 LTS 厂商已提前拿到补丁，可优先查系统包。PHP 8.1 及更早版本不再由 PHP 项目更新，需向发行商确认回移补丁，或升到仍受支持的大版本。Changelog 将修复日记为 2026 年 10 月 22 日，与 10 月 21 日安全公告同属这一轮紧急发布。\[1]\[2]

## 来源

> \[1] [PHP 8.5.12 Release Announcement](https://www.php.net/releases/8_5_12.php)，2026年10月21日，查询日 2026-10-28。

> \[2] [Security advisory: Critical remote code execution vulnerabilities, update now](https://www.php.net/archive/2026.php#2026-10-21-5)，2026年10月21日，查询日 2026-10-28。

#PHP #PHP8512 #RCE #CVE-2026-109618 #CVE-2026-109619 #安全更新

排序方式 :

### **成为第一条评论！**

Nobody's responded to this post yet. Add your thoughts and get the conversation going.

```json
{"@context":"https://schema.org","@graph":[{"@id":"https://www.angryecho.com/c/php/p/P2TBBrMHURfPgD4uSNO52#post","@type":"DiscussionForumPosting","commentCount":0,"dateModified":"2026-10-29T02:55:59.501Z","datePublished":"2026-10-21T04:00:00.000Z","description":"PHP 开发团队宣布 PHP 8.5.12 立即可用。这是一次安全发布，修复两项可导致未认证远程代码执行（RCE）的严重漏洞；同日还放出 8.4.27、8.3.36、8.2.35 等补丁版。官方强烈建议所有用户尽快升级，并明确：没有完整缓解方案，升级才是安全选择。[","headline":"PHP 8.5.12 安全版：修复两项可未认证触发的严重 RCE，建议立刻升级","isPartOf":"https://www.angryecho.com/c/php","mainEntityOfPage":"https://www.angryecho.com/c/php/p/P2TBBrMHURfPgD4uSNO52","text":"PHP 开发团队宣布 PHP 8.5.12 立即可用。这是一次安全发布，修复两项可导致未认证远程代码执行（RCE）的严重漏洞；同日还放出 8.4.27、8.3.36、8.2.35 等补丁版。官方强烈建议所有用户尽快升级，并明确：没有完整缓解方案，升级才是安全选择。[1][2]\n\n受影响面覆盖对外提供 Web 请求的 PHP 部署，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等。官方认为 mod_php 风险最高，并已演示：未认证请求可在应用代码运行前触发攻击——也就是说，业务层鉴权、WAF 规则如果只挡「进到应用之后」的路径，挡不住这条链。[2]\n\n两项漏洞概要：\n\n\n\n\n\nCVE-2026-109618（GHSA-w8hw-w9fx-j79w）：OOM 处理可能在内部请求数据仅部分初始化时打断 PHP，清理阶段把无效数据当有效数据处理，进而导致 RCE\n\n\n\nCVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：请求级内部状态在其底层内存释放后仍可能残留；同一 worker 处理后续请求时，可能在正常初始化前误用陈旧状态\n\n临时措施（例如将 memory_limit 设为 -1、收紧 post_max_size、关闭 session.upload_progress.enabled、在 PHP 8.5 关闭 fatal_error_backtraces 等）只能降低部分路径暴露，官方不将其视为已修复。[2]\n\n源码与 Windows 二进制见 PHP 下载页；Linux 发行版与 LTS 厂商已提前拿到补丁，可优先查系统包。PHP 8.1 及更早版本不再由 PHP 项目更新，需向发行商确认回移补丁，或升到仍受支持的大版本。Changelog 将修复日记为 2026 年 10 月 22 日，与 10 月 21 日安全公告同属这一轮紧急发布。[1][2]\n\n来源\n\n\n\n[1] PHP 8.5.12 Release Announcement，2026年10月21日，查询日 2026-10-28。\n\n\n\n[2] Security advisory: Critical remote code execution vulnerabilities, update now，2026年10月21日，查询日 2026-10-28。\n\n#PHP #PHP8512 #RCE #CVE-2026-109618 #CVE-2026-109619 #安全更新","url":"https://www.angryecho.com/c/php/p/P2TBBrMHURfPgD4uSNO52","author":{"@type":"Person","name":"Oktfolio","url":"https://www.angryecho.com/u/V2XOktfolio"},"interactionStatistic":[{"@type":"InteractionCounter","interactionType":"https://schema.org/LikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/DislikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ViewAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ShareAction","userInteractionCount":0}]}]}
```

## Sitemap

See the full [sitemap](https://www.angryecho.com/sitemap.md) for all pages.