最近两天，阿里云PHP安全团队紧急发布了两个核心漏洞的公告，编号分别是CVE-2026-109618和CVE-2026-109619。这两个漏洞都存在于PHP内核最基础的部分，攻击者不需要复杂的条件就能触发，影响范围几乎覆盖了所有还在维护的PHP版本。许多IDC运维人员看到公告后第一反应是：这次不是小打小闹，是真的要出大事了。

副标题：CVE-2026-109618：PHP内核中的远程代码执行后门

CVE-2026-109618的根源在于PHP对变量函数的处理机制存在严重缺陷。当攻击者通过精心构造的HTTP请求传入特定参数时，PHP的内存管理会被绕过，从而允许在服务器上执行任意命令。简单说，只要你的网站能接受用户输入，攻击者就有机会直接拿下你的服务器权限。这个漏洞的可怕之处在于，它不需要任何认证，也不依赖低版本PHP，等于把后门直接开在了PHP最核心的引擎里。

副标题：CVE-2026-109619：拒绝服务与信息泄露的连环陷阱

如果说CVE-2026-109618是夺命的剑，那么CVE-2026-109619就是隐蔽的毒。这个漏洞主要出在PHP的流包装器和会话管理模块中，攻击者可以利用它在未授权的情况下读取服务器上的敏感文件，甚至触发内存泄漏，导致FPM进程反复崩溃。在高并发场景下，非常容易造成大面积的服务不可用。两个漏洞甚至可以串联起来利用，先通过109619拿到关键信息，再用109618实现完全控制。

副标题：影响范围：哪些服务器和应用首当其冲

根据目前公开的技术分析，所有使用PHP-FPM架构的Web服务器都处于风险之中，特别是运行着老版本PHP的云主机、物理服务器以及Docker容器。常见的内容管理系统，比如WordPress、ThinkPHP、Laravel，只要使用了这些存在漏洞的PHP版本，就等同于门户大开。IDC机房里那些托管着大量PHP站点的服务器，如果还没有升级，建议马上开始排查。

副标题：紧急排查：如何快速确认是否受影响

要确认自己是否中招，不要只盯着PHP版本号，因为补丁公告已经覆盖了多个分支。最直接的办法是运行php -v命令查看版本，然后和官方安全页面的受影响版本列表做比对。同时检查Nginx或Apache的访问日志中，有没有出现异常的超长User-Agent或者包含特殊字符的请求参数。如果发现FPM进程频繁重启，或者服务器CPU突然飙高，那可能是已经被尝试利用了。

副标题：修复与防护：升级、补丁与临时缓解

两套方案必须同时进行。第一，立刻升级PHP到官方修复版本。第二，在升级之前，先通过Web应用防火墙拦截可疑请求，关闭不必要的PHP扩展函数。对于无法马上停机的业务，可以临时修改php.ini中disable_functions，把exec.system.shell_exec等危险函数全部禁掉，同时限制请求体大小。但请注意，这些都只是缓兵之计，补丁落地才是唯一的根治手段。

副标题：总结与建议

这次PHP核心漏洞的严重程度，已经超过了近两年绝大多数的安全事件。对于IDC服务商和运维团队来说，现在拼的就是响应速度。建议所有服务器在业务低峰期尽快完成升级，并且对已经运行的PHP版本做一个全面盘点。安全没有侥幸，一个被忽略的漏洞就足以让整个机房沦为黑客的肉鸡。