PHP 8.3.36是官方唯一修复CVE-2026-109618和CVE-2026-109619的版本，需确认运行版本是否低于8.3.36且session.upload_progress.enabled=On、memory_limit为有限值。
验证 PHP 8.3 远程代码执行漏洞（CVE-2026-109618 / CVE-2026-109619）是否存在，核心是确认两点：当前运行版本是否在受影响范围内，以及关键攻击面（如 session.upload_progress、内存限制机制）是否启用且可被触发。不建议直接尝试远程利用，而应优先通过版本检查和配置核查完成安全验证。
确认 PHP 8.3 实际运行版本
同一服务器上 CLI 和 Web 服务可能使用不同 PHP 版本，必须分别验证：
- 在 Web 环境中访问
phpinfo()页面（如创建info.php内容为<?php phpinfo(); ?>），查找 PHP Version 行，确认是否为8.3.x且x （即低于 8.3.36） - 在命令行中执行
php -v查看 CLI 版本；若用 PHP-FPM，还需运行php-fpm8.3 -v或php-fpm -v（取决于系统命名） - 注意：PHP 8.3.0 至 8.3.35 均受影响，8.3.36 是官方唯一修复版本
检查关键配置项是否启用
这两个漏洞依赖特定运行时行为，需确认以下配置未被禁用：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
-
session.upload_progress.enabled = On（CVE-2026-109619 的主要利用路径之一） -
memory_limit设为有限值（如128M、8M），而非-1（CVE-2026-109618 的 OOM 触发前提） -
post_max_size和upload_max_filesize大于 0，且未严格限制 multipart 结构深度 - 可通过
phpinfo()页面搜索关键词，或在 CLI 中运行php -i | grep -E "(upload_progress|memory_limit|post_max_size)"
本地复现环境快速验证（仅限测试环境）
若需技术验证而非仅资产排查，可在隔离 Docker 环境中模拟已知崩溃条件：
立即学习“PHP免费学习笔记（深入）”；
- 使用 Apache + mod_php 或 PHP-FPM，PHP 版本设为 8.3.35
- 配置
memory_limit=8M、session.upload_progress.enabled=On、session.use_strict_mode=0 - 发送两个连续的空文件名嵌套 multipart 请求（例如含
upload_progress_key字段但无实际文件内容），观察服务进程是否出现SIGSEGV或生成 core dump - 该行为已在多个公开靶场复现，但切勿在生产环境尝试
查看官方补丁与更新状态
最可靠的方式是核对是否已升级至修复版本：
- PHP 官方已发布并明确标注：8.3.36 是针对 CVE-2026-109618/109619 的专用安全修复版
- 检查更新日志是否包含 “Fixed RCE via OOM corruption” 和 “Fixed RCE via stale global state” 描述
- 若使用容器镜像，确认基础镜像标签为
php:8.3.36-apache或类似，而非8.3.35等旧版
