一、情况概述
PHP（PHP: Hypertext Preprocessor）即“超文本预处理器”，是在服务器端执行的脚本语言。
近期，监测到一则PHP组件存在多个代码执行漏洞的信息，PHP 的会话上传进度机制(session.upload_progress)存在两个预认证远程代码执行漏洞(CVE-2026-109618/109619)。攻击者通过构造特制的文件上传请求，可利用该机制在内存异常耗尽和进程状态复位不彻底时的缺陷触发释放后重用，先泄露进程内存地址绕过地址随机化，再劫持程序执行流程，以 Web 服务权限执行任意命令，且可绕过 disable_functions；此外该机制还会不加过滤地将攻击者指定的会话 ID 与上传文件名写入会话文件，在特定配置的站点上可进一步触发反序列化代码执行。攻击不要求目标应用存在任何缺陷，任意 PHP 页面均在攻击面内。影响 PHP 5.4 至 8.5.11 的默认配置版本，WordPress 等主流应用均受影响。
建议受影响师生做好资产自查以及预防工作，及时修复，以免遭受黑客攻击。
二、影响范围
目前受影响的PHP版本：
8.2.x <= PHP < 8.2.35
8.3.x <= PHP < 8.3.36
8.4.x <= PHP < 8.4.27
8.5.x <= PHP < 8.5.12
三、修复建议
官方已发布修复补丁，请更新至最新版本。下载地址：https://www.php.net/downloads.php
