【紧急跟进预警】CVE-2026-109618 补丁存在绕过：8.2.35 / 8.5.12 环境下POC依然可触发RCE
漏洞背景回顾
CVE-2026-109618（PHP2Shell）是multipart解析+OOM内存耗尽触发的无鉴权RCE，依靠特制POST multipart包，在内存分配失败、longjmp异常退出时造成内存状态污染，请求收尾阶段触发任意代码执行；攻击面依托 session.upload_progress 上传进度会话逻辑，不需要网站本身具备上传功能。
很多运维已经按照之前预警，第一时间升级到 8.2.35 / 8.5.12，误以为已经修好，但目前社区实测验证：首轮补丁只是缩小了攻击窗口，没有根除底层内存破坏问题，存在绕过路径，POC可稳定打穿。
区分：CVE-2026-109619（另外一个UAF漏洞）目前暂未传出补丁绕过消息，风险重点落在CVE-2026-109618。
当前现状关键点
1. 版本陷阱
8.2.35 / 8.5.12 只是PHP官方第一轮紧急补丁包，不是最终完全修复版本；不要信任“升级到这个版本就安全”的旧结论。
很多发行版、宝塔、LNMP一键包已经同步推送这一版，大量站长已经踩坑。
重点坑： php -v 显示版本号是8.2.35，不等于防住这个漏洞。
2. 临时配置加固的价值再次拔高
之前的 php.ini 配置不再是可选缓解，变成当前阶段必做强制防护：
ini
session.upload_progress.enabled=0
session.use_strict_mode=1
原理：直接干掉漏洞依赖的 upload_progress 会话入口，切断这个攻击向量。只要这个开关打开，就算底层内存bug还在，该POC攻击路径失效。
注意：该配置只是阻断这条利用链，不是修复内核bug；后续PHP官方二次补丁出来依旧需要升级。
3. 其他辅助缓解手段（叠加防护）
- 增加 memory_limit 合理管控，不要设置 -1 （无限制内存）
- WAF/雷池等防火墙添加规则：拦截畸形、超长嵌套 multipart/form-data POST 请求
- 限制外网直接访问PHP-FPM，必要时加来源IP白名单
- 关闭不必要的multipart表单解析，业务允许的情况下过滤异常POST包
现在立刻执行的处置清单
1. ✅ 不管你是不是已经升级到8.2.35/8.5.12，全部机器统一加上上面两行php.ini配置，重启PHP-FPM，核验业务可用性
2. ✅ 开启日志审计，监控异常大体积multipart POST请求、大量413/OOM报错、陌生外连、webshell生成行为
3. ✅ 暂时停止把“8.2.35/8.5.12”当成安全终点，持续盯PHP官方公告，等待二次修复补丁
4. ✅ 已经部署WAF的，同步导入社区公开的PHP2Shell特征规则
5. ✅ 备份站点源码、数据库，做好入侵排查，检查是否已经被植入WebShell
风险提醒
攻击者会利用大家“升级到官方补丁就放心”的心理，优先扫8.2.35、8.5.12这批主机。
一旦绕过成功，后果和原版漏洞一致：拿到www-data权限、传马、拖库、横向渗透、挖矿、挂黑链。
总结
本轮事件属于典型不完整补丁（incomplete patch / patch bypass）：
升级 ≠ 安全，配置加固是当下唯一有效的止血手段，等待PHP官方二次补丁发布。
免责说明：该结论来自社区安全研究者复现反馈，以PHP官方后续正式公告为准。
