运行信息最后重大变更：2026 年 10 月 21 日 17:25 CEST 软件列表最后状态更新：2026 年 10 月 22 日 17:23 CEST TLP:CLEAR
本仓库包含 CERT-EU 追踪为 CVE-2026-109618 和 CVE-2026-109619 的严重 PHP 漏洞的相关运行信息。
PHP 是一种广泛使用的开源服务器端脚本语言，因此这些漏洞可能影响大量面向互联网的 Web 应用以及嵌入或依赖 PHP 的产品。
2026 年 10 月 21 日，PHP 发布了针对 CVE-2026-109618 和 CVE-2026-109619 的修复版本：PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 表示，这两个漏洞均可导致未经身份验证的远程代码执行，并且所有处理 Web 请求的 PHP 安装均面临风险，包括 PHP-FPM、带 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。PHP 认为 mod_php 的风险最高，因为未经身份验证的请求可在应用代码运行之前触发漏洞利用。
PHP 将 CVE-2026-109618 描述为在请求清理期间通过内存耗尽损坏导致的远程代码执行，将 CVE-2026-109619 描述为通过同一工作进程上后续请求复用属于先前请求的过期全局状态导致的远程代码执行。PHP 8.1 及更早版本已不再受 PHP 项目支持；各发行版和 LTS 供应商可能提供向后移植的软件包，PHP 也已发布针对 PHP 7.4、8.0 和 8.1 的最小源代码向后移植。
影响不仅限于网站：PHP 还嵌入在设备、网络设备、管理界面和其他供应商产品中，管理员可能无法直接更新其中的 PHP。
session.upload_progress、重启工作进程，并查阅官方的 memory_limit、post_max_size 和 PHP 8.5 fatal_error_backtraces 指南。PHP 表示这些措施并非完整的修复方案。更多信息请参见：
| 目录 | 用途 |
|---|---|
| detection_mitigation | 包含针对这些漏洞的检测和缓解材料。 |
| software | 包含可能受这些漏洞影响的、依赖 PHP 的软件产品清单。 |
| tools | 包含用于使用/生成本仓库内文件的工具 |
请注意，本仓库尚不完整，目前正在扩充中。
| 日期和时间 | 供应商 | 产品 | 版本（见状态） | 状态 CVE-2026-109618 | 状态 CVE-2026-109619 | 备注 | 链接 |
|---|---|---|---|---|---|---|---|
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiADC Manager | 调查中 | 调查中 | CVE 评估：Fortinet PSIRT FG-IR-26-186 将该产品列为调查中；受影响/已修复版本尚未发布 Fortinet PSIRT 公告 FG-IR-26-186 将 FortiADC Manager 列为针对 CVE-2026-109618 和 CVE-2026-109619 的调查中产品。 | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiClient Cloud Services | 调查中 | 调查中 | CVE 评估：Fortinet PSIRT FG-IR-26-186 将该产品列为调查中；受影响/已修复版本尚未发布 Fortinet PSIRT 公告 FG-IR-26-186 将 FortiClient Cloud Services 列为针对 CVE-2026-109618 和 CVE-2026-109619 的调查中产品。 | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS | 调查中 | 调查中 | CVE 评估：Fortinet PSIRT FG-IR-26-186 将该产品列为调查中；受影响/已修复版本尚未发布 Fortinet PSIRT 公告 FG-IR-26-186 将 FortiDDoS 列为针对 CVE-2026-109618 和 CVE-2026-109619 的调查中产品。 | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS-F | 调查中 | 调查中 | CVE 评估：Fortinet PSIRT FG-IR-26-186 将该产品列为调查中；受影响/已修复版本尚未发布 Fortinet PSIRT 公告 FG-IR-26-186 将 FortiDDoS-F 列为针对 CVE-2026-109618 和 CVE-2026-109619 的调查中产品。 | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiEndpoint | 调查中 | 调查中 | CVE 评估：Fortinet PSIRT FG-IR-26-186 将该产品列为调查中；受影响/已修复版本尚未发布 Fortinet PSIRT 公告 FG-IR-26-186 将 FortiEndpoint 列为针对 CVE-2026-109618 和 CVE-2026-109619 的调查中产品。 | source |
请参阅完整的软件状态更新历史。
如果您有任何与这些 PHP 漏洞相关的补充信息，欢迎提交 Pull request。初次参与？请阅读 GitHub 文档中的贡献指南。
关于软件列表的更新：我们强烈建议在 software/spdx/ 中的 SPDX 源文件里进行编辑。Markdown 列表页面是根据这些文件自动生成的。如果这对您来说太困难：不用担心。我们会尝试将 .md 文件中的编辑反向移植到 SPDX 源文件，但不作任何保证。