近日，PHP 官方发布紧急安全公告，修复两个可导致未认证远程代码执行（RCE）的严重漏洞——CVE-2026-109618（通过 OOM 损坏实现的 RCE）与 CVE-2026-109619（通过陈旧全局状态实现的 RCE），二者被统称为 PHP2Shell，CVSS v4.0 评分均为 9.2（Critical）。Avaya 已就此发布安全公告（Security Advisory），确认正在积极审查其产品组合与云服务，以确定哪些产品或服务可能受到影响。作为 Avaya 钻石级合作伙伴，神州世通提示广大 Avaya 用户：及时关注厂商通告，并尽快核查自有环境的 PHP 运行时版本。
PHP2Shell（CVE-2026-109618 / CVE-2026-109619）漏洞情报示意图
01漏洞概况OVERVIEW
两个漏洞均位于 PHP 内核的内存管理与请求生命周期处理路径，攻击者不需要任何账号凭证，也无需用户交互，直接通过网络构造 HTTP 请求即可触发。PHP 官方将其定性为「关键级」，并明确表示「没有完整的缓解措施，升级是唯一安全的选择」。
| CVE 编号 | 漏洞类型 | 成因要点 |
|---|
| CVE-2026-109618 | RCE via OOM corruption
OOM 期间的内存损坏 | PHP 使用 longjmp() 处理内存耗尽并跳出当前上下文。在请求内存尚未完成初始化的时间窗口内，任何一次内存分配失败都会让 PHP 在没有正确记账的情况下提前退出，请求关闭流程随后读取到已损坏的状态。攻击者可通过构造 multipart 请求（无有效 Content-Length、单个 part 内海量头部、空文件控件等）在限额内稳定制造 OOM，进而实现远程代码执行。 |
| CVE-2026-109619 | RCE via stale global state
陈旧全局状态 | 归属于单个请求的内部状态在其底层内存被释放之后仍然存活。同一 worker 处理后续请求时，可能在正常初始化重置该状态之前就使用了这份陈旧数据，从而突破请求边界，形成跨请求的代码执行路径。 |
按 CVSS v4.0 向量（AV:N/AC:H/AT:P/PR:N/UI:N），攻击者可远程发起、无需权限、无需用户参与；利用成功后攻击者取得 Web 工作进程权限级别的代码执行能力，对系统的机密性、完整性与可用性影响均为「高」。需要注意的是，这类漏洞的利用不依赖具体应用的业务逻辑，意味着「应用层做了多少防护」并不能降低风险。
02影响范围AFFECTED SCOPE
PHP 官方公告显示，受影响版本为下列修复版本之前的全部发行版；官方同步提供了修复版本，且已提前向各 Linux 发行版与 LTS 厂商交付补丁：
| PHP 分支 | 受影响版本 | 修复版本 |
|---|
| PHP 8.5 | 低于 8.5.12 | 8.5.12 |
| PHP 8.4 | 低于 8.4.27 | 8.4.27 |
| PHP 8.3 | 低于 8.3.36 | 8.3.36 |
| PHP 8.2 | 低于 8.2.35 | 8.2.35 |
PHP 8.1 及更早版本已不再由 PHP 官方维护，需通过操作系统发行版或 LTS 厂商获取回溯补丁，或直接升级至受支持版本；PHP 8.2 将于 2026 年 12 月 31 日结束生命周期，仍在使用该分支的用户应同步规划版本升级。
从部署形态看，风险最高的是 Apache + mod_php：该 SAPI 在请求启动失败时仍会无条件执行请求关闭流程，攻击可以在任何应用代码执行之前完成，应用层所做的任何校验都来不及介入。PHP-FPM、php-cgi、FrankenPHP、LiteSpeed 等形态同样处于风险范围；其中 FPM 会在请求启动失败时退出子进程，实际可利用性相对较低，但源码分析仍认为其存在易感的代码路径。
一句话判断：所有对外提供 Web 服务的 PHP 环境，无论承载的是门户、报表、管理后台还是自助服务，只要版本低于修复版本，均应视为在风险范围内。
03Avaya 官方回应AVAYA SECURITY ADVISORY
Avaya 已在官方支持中心发布安全公告《PHP security vulnerabilities (PHP2Shell)》，确认已关注到近期报道的 PHP 安全漏洞，并同步给出 PHP 官方公告与两个 GitHub Security Advisory 的原始链接。
“Avaya is aware of the recently reported PHP security vulnerabilities affecting CVE-2026-109618 (RCE via OOM corruption) and CVE-2026-109619 (RCE via stale global state)… Avaya is investigating its portfolio to determine which products or cloud services may be affected by these vulnerabilities. As the investigation progresses, Avaya will communicate any material findings along with remediation recommendations as necessary.”
中文要点：Avaya 目前正在积极审查其产品组合和云服务，以确定哪些产品或服务可能受到影响；随着调查的深入，Avaya 将适时沟通任何重要发现以及必要的修复建议。
Avaya 安全公告原文：PHP security vulnerabilities (PHP2Shell) — Avaya Security Advisory
PHP 官方公告：Security advisory: Critical remote code execution vulnerabilities, update now
如何正确理解这份公告：截至本文发布，Avaya 尚未公布具体受影响的产品清单与修复时间表。「正在审查」意味着影响判定尚未完成——既不等于相关产品或服务已确认安全，也不等于已确认受影响。对于承载关键业务的通信与联络中心系统，建议按「可能受影响」先行排查。
04Avaya 用户应对建议RECOMMENDED ACTIONS
2
清点自有环境
梳理 Avaya 各管理类与自服务类组件所依赖的 Web 运行环境及 PHP 版本，包括各类 Web 管理界面、报表、自助服务门户，以及与之共机部署的其他 Web 应用。
3
优先升级 PHP
对可自主维护的环境，升级至 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 或更高版本，并重启全部 worker，确认新版本已生效。
4
必要时先做临时加固
无法立即升级时，可按 PHP 官方建议：在 FPM pool 或 Apache 配置中强制 memory_limit=-1（须确认无 pool、目录或应用配置重新设回有限值）；关闭 session.upload_progress.enabled；将 post_max_size 收紧至 8M（无上传需求）或 32M；并在 WAF / 反向代理层限制请求体大小、字段数量、multipart part 数与头部数量。
5
不要自行替换产品内嵌运行时
Avaya 产品中集成的 PHP 运行时通常随产品版本发布与验证。自行替换可能造成兼容性问题并影响厂商支持，相关升级应依据 Avaya 版本发布说明，由 Avaya 或授权服务商执行。
必须强调：PHP 官方明确指出，上述配置项只能阻断已知的具体攻击路径，并不能使环境变得安全——升级到修复版本是唯一的完整解决方案。临时加固的定位是「争取时间」，不能作为长期方案。
05神州世通可提供的支持HOW WE CAN HELP
神州世通自 2005 年起深耕企业通信领域，是 Avaya 钻石级合作伙伴与商业市场核心合作伙伴，具备覆盖北京、上海、沈阳、济南、广州、成都的全国服务网络。针对本次 PHP2Shell 漏洞，我们可为 Avaya 用户提供以下支持：
影响判定协助
核对您现有 Avaya 产品与版本清单，逐项跟踪 Avaya 官方安全公告的判定结果，及时同步结论。
升级与加固方案
依据厂商版本发布说明制定升级路径或临时加固方案，避免自行替换内嵌运行时带来的支持风险。
暴露面自查
协助排查 Avaya 管理组件的 Web 运行环境、版本与对外暴露情况，评估实际风险等级。
7×24 应急响应
安全事件应急支持与处置建议，必要时协调原厂资源介入。
SECURITY SUPPORT HOTLINE
服务热线：010-52829000 ｜ 技术支持邮箱：support@china-netel.com
安全事件的处置窗口往往以小时计算。建议各 Avaya 用户单位在本周内完成 PHP 运行时版本清点，并指定专人跟踪 support.avaya.com 的公告更新；对于暴露在互联网侧的通信与自助服务系统，优先安排升级或临时加固。如需协助，欢迎随时与神州世通服务团队联系。
本文由神州世通整理，信息截至 2026 年 10 月 23 日，编译自 PHP 官方安全公告与 Avaya Security Advisory。漏洞影响判定与修复方案请以厂商官方发布为准。
