快科技10月22日消息，日前，腾讯云发布PHP“php2shell”远程代码执行漏洞风险通告，披露PHP存在两个远程代码执行漏洞，编号分别为CVE-2026-109618和CVE-2026-109619，风险等级为高风险。
据介绍，攻击者无需身份验证，即可通过发送特制的multipart POST请求触发漏洞，造成内存破坏，最终实现远程代码执行，严重情况下可能导致服务器被完全控制。
具体来看，CVE-2026-109618与PHP处理内存耗尽（OOM）错误时的异常退出机制有关。
在特定情况下，内存分配失败可能导致请求内存处于无效状态，后续处理过程中进而引发内存破坏和远程代码执行。
另一个漏洞CVE-2026-109619则与PHP工作进程跨请求保留的全局状态有关。
由于部分状态未在请求内存释放前完全重置，后续请求可能访问已经失效的内存，进而引发释放后使用等内存安全问题，最终可能导致远程代码执行。
腾讯云指出，攻击者成功利用上述漏洞后，可以Web工作进程账户的身份执行任意代码，可能造成服务器完全沦陷、敏感数据泄露或恶意软件植入等后果。
在影响版本方面，腾讯云列出了以下存在漏洞的版本范围，并给出了对应的安全版本：
PHP 8.2：低于8.2.35的版本，建议升级至8.2.35或更高版本。
PHP 8.3：低于8.3.36的版本，建议升级至8.3.36或更高版本。
PHP 8.4：低于8.4.27的版本，建议升级至8.4.27或更高版本。
PHP 8.5：低于8.5.12的版本，建议升级至8.5.12或更高版本。
针对上述漏洞，腾讯云建议用户及时开展安全自查，评估业务是否受到影响，并尽快升级至对应安全版本。
升级前应做好数据备份，避免修复过程中出现意外。
此外，腾讯云表示，旗下腾讯T-Sec主机安全已支持相关漏洞检测，Web应用防火墙和云防火墙也已支持相应防护。
相关用户可通过PHP官方网站下载更新版本：https://www.php.net/downloads.php
