10月20日，PHP官方发布安全更新预告，将于北京时间10月21日22:00（UTC 14:00）推出紧急安全补丁，修复两枚CVSS v4.0评分高达9.2的核心级严重漏洞。公开信息中以php2shell指代该组漏洞。截至通告发布，官方尚未公布技术细节、受影响版本和修复版本。
一、漏洞成因
PHP Core的session上传进度处理机制会在multipart请求解析过程中触发多次会话状态切换。相关实验分析表明，在特定请求顺序与应用会话状态组合下，相关内存对象可能在后续处理到达前被提前释放，并在上传进度更新过程中被再次访问，形成释放后重用（UAF），进而可能导致进程崩溃甚至任意代码执行。release构建表现为进程崩溃，debug/ASAN构建可观察到引用计数异常。由于官方尚未发布补丁与root cause，最终以官方公告为准。
二、漏洞影响
若完整利用链达成，攻击者可在PHP进程权限下执行任意代码，可能导致服务器被完全控制、敏感数据泄露、业务中断，或被用于部署WebShell、建立持久化访问及向内网横向移动。
三、影响版本
公开信息称PHP 5及之后版本均可能受影响，该范围尚未获得官方确认。PHP 8.2之前的版本已结束安全支持，预计不会获得官方修复，仍在使用PHP 5.x、7.x及8.0/8.1的环境应优先迁移或隔离。
四、临时缓解措施
1.若业务不使用上传进度条，在php.ini、.user.ini或.htaccess中设置session.upload_progress.enabled=Off，并重新加载PHP-FPM或Web服务器。该措施可切断本次已验证的中途session生命周期路径，但不能替代官方补丁。
2.在WAF、反向代理或网关层收紧对multipart/form-data请求的检查，重点保护不需要文件上传的业务端点。可以考虑拦截request body中包含关键字PHP_SESSION_UPLOAD_PROGRESS的请求，务必注意该限制会影响所有使用upload_progress的php业务。
3.对PHP 8.1及更早的停止支持版本，采取下线、网络隔离、VPN或白名单访问等措施，直至完成迁移。
4.监控PHP工作进程异常退出、Web服务器崩溃日志，以及PHP进程启动的异常子进程和异常文件写入，保留Web服务器与PHP日志。
5.提前准备升级窗口、回滚方案，并与相关供应商进行联系，补丁发布后尽快完成更新。
五、升级修复方案
PHP官方计划于2026年10月21日22:00（UTC 14:00）发布安全更新，修复版本以官方发布为准（https://www.php.net/archive/2026.php）。补丁发布后应优先升级互联网暴露的Web服务器、共享主机及控制面板/CMS环境，并确认发行版和供应商的回溯更新；PHP 8.1及更早版本已停止支持，应尽快迁移或下线隔离。
参考链接：
https://www.php.net/archive/2026.php
https://watchtowr.com/intelligence/php-cve-2026-109618-faq/