CVE-2026-109619影响所有启用multipart解析的PHP运行模式（PHP-FPM、mod_php、CGI/FastCGI），本质是PHP内核解析multipart POST请求时的内存管理缺陷；纯CLI、禁用file_uploads或前端剥离multipart的场景不受影响，唯一修复方案是升级至PHP 8.4.27。
CVE-2026-109619（php2shell）影响所有使用 PHP 解释器处理 HTTP 请求的运行模式，只要其底层依赖存在漏洞的 PHP Core 版本。
受影响的运行模式
该漏洞本质是 PHP 内核在解析 multipart POST 请求时的内存管理缺陷，与 Web 服务器集成方式无关，只取决于 PHP 自身是否启用相关解析逻辑。以下模式均受影响：
- PHP-FPM：最常见部署方式，完全受影响。FPM worker 进程在接收并解析恶意 multipart 请求时会触发内存破坏。
- mod_php（Apache 模块）：受影响。Apache 通过 libphp 模块直接调用 PHP 解析器，multipart 解析流程相同。
- CGI / FastCGI（非 FPM 实现）：受影响。只要 PHP 以 CGI 方式启动并处理上传请求，漏洞即可被利用。
不受影响或风险极低的情况
以下场景不涉及 PHP 对 multipart 请求的解析，因此不触发该漏洞：
- 纯 CLI 模式：如定时任务、Artisan 命令、脚本批量处理等，无 HTTP 请求上下文，不解析 multipart 数据。
-
禁用文件上传的环境：若 php.ini 中明确设置
file_uploads = Off且未通过其他方式（如自定义解析）恢复 multipart 处理能力，则攻击面被实质性关闭。 -
前端反向代理完全剥离 multipart 请求：例如 Nginx 配置中对特定路径强制拒绝
Content-Type: multipart/form-data，并在到达 PHP 前终止请求——但这属于架构层缓解，非 PHP 本身修复。
关键提醒
漏洞利用不依赖用户登录或权限，属于未经身份验证的远程代码执行。无论你用的是 FPM、mod_php 还是 CGI，只要 PHP 版本落在受影响范围内（如 8.4.26 及更早），且服务端接收并解析 multipart POST 请求，就存在风险。
立即学习“PHP免费学习笔记（深入）”；
官方已明确表示：没有安全、完整的临时缓解措施。升级到修复版本（如 PHP 8.4.27）是唯一推荐方案。
