Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619

应对核心PHP漏洞 CVE-2026-109618 和 CVE-2026-109619 | Google Cloud 博客

安全与身份

应对核心PHP漏洞 CVE-2026-109618 和 CVE-2026-109619

2026年10月22日

##### Chris Betz

Google Cloud 首席信息安全官

##### Raluca Ada Popa

Google DeepMind Gemini 安全负责人

##### 立即体验 Gemini

职场人工智能的入口

立即体验

PHP 与 Wiz Research 今日披露了核心PHP语言运行时中的两个关键漏洞，这些漏洞可能导致应用程序面临未经身份验证的远程代码执行和内存泄露风险。Wiz 通过多种模型组合识别并协助修复了这些漏洞。

值得注意的是，Gemini 4 Argon 在发现漏洞、开发利用工具、攻击检测和补丁验证方面做出了重要贡献。

虽然Google Cloud本身不受影响，但运行在Google Cloud上的PHP用户可能存在风险。Google Cloud深知这些漏洞的严重性，现提供指导帮助客户立即采取行动保护其应用。

漏洞背景

PHP是一种广泛使用的服务器端脚本语言，为许多网站、内容管理系统和Web应用提供支持。2026年10月21日，CVE.org将这些漏洞编号为CVE-2026-109618和CVE-2026-109619。

PHP漏洞的官方通用漏洞评分系统（CVSS）基准严重性评分均为"严重"（9.2分）。通常这意味着攻击者可以崩溃并劫持受影响系统，并能轻易窃取、篡改和清除其数据——尽管某些缓解因素可能使利用该漏洞更加困难。

• CVE-2026-109618：内存溢出处理可能在内部请求数据仅部分初始化时中断PHP。随后的请求清理可能将无效数据视为有效数据。
• CVE-2026-109619：请求拥有的内部状态在内存释放后仍可能残留。同一工作进程处理的后续请求可能在正常初始化重置之前使用这些过时状态。

受影响版本：PHP 5.4至8.5.11的所有版本 已修复版本：PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 未修复版本：PHP项目不会为已到生命周期终点的PHP 8.1及更早版本提供修复补丁 修复方案： CVE-2026-109618（GHSA-w8hw-w9fx-j79w）和 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp） 公告：PHP已就这两个漏洞发布安全公告。

Wiz Research已发布详细的研究描述和协调披露过程说明。

更新PHP并重新部署应用

我们强烈建议所有在Google Cloud上运行PHP应用的客户立即升级到PHP 8.2或更新版本，并使用修复后的版本重新部署服务。

此要求特别适用于以下部署环境：

• App Engine 标准环境：受支持的运行时环境将自动应用补丁。如果您使用的是PHP 8.1或更早版本，请升级到PHP 8.2或更新版本并重新部署。
• App Engine 灵活环境：使用受支持的运行时环境重新部署PHP运行时。如果您使用自定义运行时，请将PHP依赖项更新到修复后的版本并重新部署应用。
• Cloud Run：如果未启用自动基础镜像更新，或您部署了自定义容器镜像，请使用修复后的PHP版本重新构建并重新部署。

• Google Kubernetes Engine (GKE)：使用修补后的 PHP 版本更新容器镜像，并重新部署 Pod。

• Google Cloud Marketplace：如果您运行包含 PHP 的 Marketplace 解决方案（例如内容管理系统或 LAMP 堆栈），请从解决方案提供商处获取更新或直接更新 PHP。

无服务器平台的自动补丁

Google Cloud 正在为 App Engine 标准环境、App Engine 灵活环境、Cloud Run、Cloud Run 函数和 Firebase 的 Cloud Functions 上所有支持的 PHP 版本推出更新后的无服务器基础镜像。

对您的影响：

• App Engine 标准环境（PHP 8.2 及更高版本）：应用程序将自动更新，无需任何操作。

• App Engine 灵活环境（所有 PHP 版本）：应用程序不会自动更新。请尽快将应用程序重新部署到 PHP 8.2 及更高版本。

• Cloud Run 函数（PHP 8.2 及更高版本）：已启用自动基础镜像更新的函数将自动更新。未启用自动基础镜像更新的函数必须手动重新部署。

• Cloud Run（PHP 8.2 及更高版本）：已启用自动基础镜像更新的服务将自动更新。未启用自动基础镜像更新的服务必须重新构建并重新部署以获取修补后的运行时。

重要注意事项：

• 不受支持的运行时环境不会进行修补。上游 PHP 项目不会将这些修复回滚到 PHP 8.1 或更早版本。运行 PHP 5.5、PHP 7.2、PHP 7.3、PHP 7.4 或 PHP 8.1 的应用程序仍存在漏洞，必须升级到 PHP 8.2 或更高版本。请参阅以下运行时支持计划以了解无服务器生命周期日期：

• Google App Engine 标准环境

• Google App Engine 灵活环境

• Cloud Run

• Cloud Run 函数

• 您自行构建的容器镜像由您负责。如果您已将自定义容器镜像部署到 Cloud Run 或 App Engine 灵活环境（例如使用自定义运行时），请使用修补后的 PHP 版本重新构建镜像并重新部署。

监控与审计

使用按需扫描 API 手动扫描存储在本地计算机或远程 Artifact Registry 中的镜像。使用 Artifact Analysis 的客户将在新旧工件中收到这些漏洞通知，以识别存在风险的工作负载。

Security Command Center 客户可以启用 GKE 和 Cloud Run 威胁检测功能，监控工作负载中的入侵行为。

修补应用程序是消除漏洞根源并确保服务持续完整性和安全性的关键步骤。

我们将继续密切关注情况，并在必要时提供进一步更新和指导。如需最新信息和详细步骤，请参阅 Google Cloud 安全公告。

发布于

• 安全与身份验证