安全公告

一、公告概要

披露日期	2026 年 10 月 21 日（PHP 官方）
公告日期	2026 年 10 月 26 日
影响等级	严重（Critical）
影响组件	PHP Web 服务（上游开源组件）
青云结论	云平台（公有云、私有云）不受该漏洞影响
处置动作	无需升级、无需打补丁

二、漏洞详情

2026 年 10 月 21 日，PHP 官方披露 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，分别涉及内存不足（Out of Memory，OOM）处理过程中的无效请求状态，以及跨请求残留的全局状态。

在受影响的 PHP Web 服务环境中，攻击者可通过未经身份验证的请求触发上述缺陷，并以 Web 工作进程的权限执行任意代码。

CVE-2026-109618	OOM 异常退出与请求清理过程中的内存状态损坏。	严重（Critical）
CVE-2026-109619	请求内存释放后全局状态残留，导致释放后使用（Use After Free，UAF）。	严重（Critical）

三、影响范围

• 受影响对象：以受影响版本 PHP 提供 Web 服务的环境。
• 青云云平台：公有云、私有云各组件均不受该漏洞影响。
• 判定依据：平台组件未使用 PHP

四、处置建议

• 云平台用户：无需任何操作。
• 自建 PHP 应用的用户：若使用受影响版本，按 PHP 官方公告给出的修复版本升级；升级前请自行完成兼容性验证。
• 平台侧：将 PHP 纳入常规组件漏洞跟踪清单，后续同类公告按本模板发布。

五、参考链接

• PHP 官方安全公告：https://www.php.net/archive/2026.php#2026-10-21-5
• CVE-2026-109618：https://www.cve.org/CVERecord?id=CVE-2026-109618
• CVE-2026-109619：https://www.cve.org/CVERecord?id=CVE-2026-109619