最新10月22日消息，日前，腾讯云发布PHP“php2shell”远程代码执行漏洞风险通告，披露PHP存在两个远程代码执行漏洞，编号分别为CVE-2026-109618和CVE-2026-109619，风险等级为高风险。

据介绍，攻击者无需身份验证，即可通过发送特制的multipart POST请求触发漏洞，造成内存破坏，最终实现远程代码执行，严重情况下可能导致服务器被完全控制。

具体来看，CVE-2026-109618与PHP处理内存耗尽（OOM）错误时的异常退出机制有关。

在特定情况下，内存分配失败可能导致请求内存处于无效状态，后续处理过程中进而引发内存破坏和远程代码执行。

另一个漏洞CVE-2026-109619则与PHP工作进程跨请求保留的全局状态有关。

由于部分状态未在请求内存释放前完全重置，后续请求可能访问已经失效的内存，进而引发释放后使用等内存安全问题，最终可能导致远程代码执行。

腾讯云指出，攻击者成功利用上述漏洞后，可以Web工作进程账户的身份执行任意代码，可能造成服务器完全沦陷、敏感数据泄露或恶意软件植入等后果。

在影响版本方面，腾讯云列出了以下存在漏洞的版本范围，并给出了对应的安全版本：

PHP 8.2：低于8.2.35的版本，建议升级至8.2.35或更高版本。

PHP 8.3：低于8.3.36的版本，建议升级至8.3.36或更高版本。

PHP 8.4：低于8.4.27的版本，建议升级至8.4.27或更高版本。

PHP 8.5：低于8.5.12的版本，建议升级至8.5.12或更高版本。

针对上述漏洞，腾讯云建议用户及时开展安全自查，评估业务是否受到影响，并尽快升级至对应安全版本。

升级前应做好数据备份，避免修复过程中出现意外。

此外，腾讯云表示，旗下腾讯T-Sec主机安全已支持相关漏洞检测，Web应用防火墙和云防火墙也已支持相应防护。

相关用户可通过PHP官方网站下载更新版本：https://www.php.net/downloads.php