跳至主要内容

PHP Web 运行时（CVE-2026-109618 和 CVE-2026-109619）

这是一个持续存在的问题。信息可能会发生变化。有关最新的补丁信息，请参阅本公告。

公告 ID： 2026-143-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 21 日下午 14:30（太平洋夏令时）
上次更新日期：2026 年 10 月 30 日下午 13:15（太平洋夏令时）

摘要：

PHP Web 运行时中发现了两个严重问题（CVE-2026-109618 和 CVE-2026-109619），未经身份验证的行为者可以利用这些问题在受影响的系统上运行代码。远程调用者可以向受影响的 PHP 工作进程发送精心编制的 Web 请求，从而执行任意代码、读取进程可访问的数据，或导致服务阻断。

AWS 服务不受这些问题影响。在下述服务中使用受影响 PHP 版本的客户可能会受到影响，请务必查看提供的指导建议。

受影响的版本：

  • PHP 8.5： 受影响的版本 8.5.0-8.5.11 · 第一个修复版本：8.5.12
  • PHP 8.4： 受影响的版本 8.4.0-8.4.26 · 第一个修复版本：8.4.27
  • PHP 8.3： 受影响的版本 8.3.0-8.3.35 · 第一个修复版本：8.3.36
  • PHP 8.2： 受影响的版本 8.2.0-8.2.34 · 第一个修复版本：8.2.35
  • PHP 5.4-8.1： 未发布任何上游修复程序。生命周期已结束，没有计划修复。需要迁移至受支持的分支。

影响：

行为者可以在未经身份验证的情况下，通过互联网与客户应用程序之间的边界远程利用此问题，从而可能导致代码执行、对进程可访问数据的非预期访问，或目标 PHP 工作进程的服务阻断。该问题仅限于受影响的工作进程及其应用程序级权限范围内；目前尚未发现跨客户传播的情况。

当前缓解措施状态：

  • Amazon EMR： 在 EC2 上运行且在应用程序集中包含 Ganglia 的 Amazon EMR 集群会受到影响，具体涉及 EMR 版本 4.2.0-5.29.0 和 5.30.0-6.15.0。在 EKS 上运行的 Amazon EMR 以及 Amazon EMR Serverless 不受影响（适用于所有版本）。对于在 EC2 上运行的 Amazon EMR，使用 7.0.0 或更高版本的集群以及未安装 Ganglia 的集群，均不受影响。对于受影响的版本，客户在启动新集群时，如果无需使用 Ganglia，应将其忽略。在条件允许的情况下，客户应升级至 EMR 7.x 版本（该版本不再包含 Ganglia），并使用 Amazon CloudWatch Agent 进行遥测和监控。

  • Amazon WorkMail： AWS 已在配置层面实施了控制措施，并完成了向 PHP 8.3.36 的升级。无需客户执行任何操作。

  • AWS Elastic Beanstalk： AWS 已针对所有受支持的 PHP 版本（8.2 至 8.5）发布了更新后的 PHP 平台版本，其中包含上游 PHP 修复程序。已启用托管平台更新的客户将在下一次维护窗口期间自动接收此更新。尚未启用托管平台更新功能的客户应按照相关文档更新其环境的平台版本：PHP 8.5/8.4 和 PHP 8.3/8.2。

  • AWS Lambda： AWS Lambda 不提供托管式 PHP 运行时。对于以自定义运行时或容器映像形式部署 PHP 的客户，需自行负责更新其函数所使用的 PHP 版本。我们建议尽快升级至已修补的 PHP 版本，并重新部署您的函数。有关构建和维护自定义运行时的指导，请参阅 AWS Lambda 文档。如果您使用第三方 Bref 项目在 Lambda 上运行 PHP，Bref 现已发布安全更新，其中包含已修复漏洞的 PHP 版本（通过更新后的层和 Docker 映像提供）。请按照 Bref 安全发布中的更新说明进行操作。

  • Amazon Linux： 更新后的 PHP 软件包适用于所有区域。在 Amazon Linux 上运行 PHP 的客户应在更新后的软件包可用时立即进行安装。请关注 Amazon Linux 安全中心中的 CVE-2026-109618 和 CVE-2026-109619 以了解详细信息。

  • Amazon Lightsail： 更新后的 Lightsail 蓝图现已在所有区域推出。AWS 无法对正在运行的 Lightsail 实例进行就地更新。在 Lightsail 上运行 PHP 工作负载的客户应使用更新后的蓝图创建新实例，并按照文档指引迁移其应用程序。

  • AWS CodeBuild： 自 2026 年 10 月 30 日起，AWS 将发布更新后的 CodeBuild 预构建映像，其中包含 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12 版本。对于在项目中使用最新预构建映像的客户，系统将在其下一次构建时自动应用更新，无需执行任何额外操作。对于已锁定特定映像版本的客户，请更新至最新版本；对于基于 CodeBuild 预构建映像构建自定义映像的客户，则需重新构建这些映像。PHP 8.1 及更早版本的生命周期已结束，且无任何计划修复；如果客户在 buildspec 中选择了这些版本，应迁移至受支持的 PHP 版本。
    CodeBuild 不会在构建服务中运行 PHP 服务器；这些问题仅与启动了 PHP 服务器的构建有关。有关可用映像和运行时版本，请参见 CodeBuild 提供的 Docker 映像。

缓解指南：

  • 彻底解决问题的唯一途径是立即升级至已修补的 PHP 版本，即 8.5.12、8.4.27、8.3.36 或 8.2.35。对于无法立即更新的用户，下文列出的配置变更或许能减轻影响，但这些措施均无法彻底消除风险。

  • 请参阅安全公告：严重远程代码执行漏洞，请立即更新以获取更多缓解措施。

  • 生命周期终止运行时 5.4–8.1： 针对 CVE-2026-109619 采取临时的配置控制措施（在适用情况下），重启 PHP 工作进程，并立即着手迁移至受支持且已修复的 PHP 分支。对于生命周期终止的分支，未提供 CVE-2026-109618 的修复程序。

  • 如果使用 AWS WAF，可采取以下补偿性控制措施：
    修补是彻底解决问题的唯一方法，用户应优先考虑升级 PHP。由于修补实例集需要一定时间，建议您查阅此博文，其中介绍了如何利用 AWS Web Application Firewall（AWS WAF）来降低在此过渡期间的风险暴露。请注意，这篇博客中的 AWS WAF 指导建议将会随着情况的发展而更新。

    我们正在持续更新 AWS WAF 的 PHP 托管规则组，以增加针对 CVE-2026-109618 和 CVE-2026-109619 的防护。使用默认版本的用户无需执行任何操作，即可自动获得保护。已锁定特定版本的客户应更新至最新版本以获取此项防护。要了解最新版本及新增规则的详细信息，请参阅 AWS WAF 托管规则变更日志并订阅 AWS 托管规则 SNS 主题。

参考：


如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com 。