各二级单位：
2026年10月21日，PHP官方披露两个严重安全漏洞，CVE-2026-109618和CVE-2026-109619，该漏洞利用内存问题，远程代码执行漏洞，可导致未授权远程代码执行、服务器接管、数据泄露、服务瘫痪，影响全球大量业务系统。为保障我校网络安全，现将相关风险及升级要求通知如下。
一、漏洞基本情况
漏洞编号：CVE-2026-109618
影响组件：PHP
影响版本：5.4到8.5
利用条件：当一个请求恰好在特定时机触发了PHP的memory_limit限制时，部分初始化的内部数据会被遗留，随后被当作有效数据处理，造成内存损坏。
危害：远程代码执行、服务不可用。
服务器被接管、数据窃取、植入后门， 升级最新版本即可修复。
漏洞编号：CVE-2026-109619
影响组件：PHP
影响版本：5.4到8.5
利用条件：当fatalerror在错误的时间点发生时，内部状态仍然指向上一个请求的内存区域。后续请求在同一个 worker中复用了已释放的内存（use-after-free）。
危害：远程代码执行、服务不可用。
服务器被接管、数据窃取、植入后门， 升级最新版本即可修复。
二、受影响资产排查
所有对外／对内，底层架构为PHP的网站均需排查。
三、紧急修复建议
立即升级到官方修复版本
开源版版本号：8.5.12、8.4.27、8.3.36和8.2.35
升级后重启并验证服务，暂无法升级的，立即关闭受影响网站的外网访问并上报信息中心。
信息中心
2026年10月22日