PHP 官方披露两个远程代码执行漏洞，本公告说明函数计算 PHP 运行时的受影响范围与修复建议。
背景信息
PHP 官方于 2026 年 10 月 21 日披露两个远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），官方评级严重（CVSS，Common Vulnerability Scoring System，通用漏洞评分系统 9.2），攻击者无需认证即可触发，漏洞细节与利用工具已在社区公开。
函数计算 PHP 相关业务的受影响范围与修复建议如下，请按下表核查并及时处理。漏洞影响、风险等级及修复版本详情请参见阿里云安全公告。
影响范围
|
运行方式 |
影响说明 |
修复建议 |
|
FC 2.0 内置 PHP 7.2 运行时（HTTP Handler） |
平台提供的 HTTP Handler 不涉及已知触发路径。仅当函数代码调用 |
函数代码未调用 |
|
FC 2.0 内置 PHP 7.2 运行时（Event Handler） |
默认不涉及已知触发路径。函数代码自行适配 Web 请求、调用 CGI 代理或自行启动 PHP Web 服务的除外。 |
未涉及自行适配 Web 请求、调用 CGI 代理或自行启动 PHP Web 服务等触发路径的函数无需变更；涉及的函数建议迁移至自定义运行时 + 修复版 PHP 公共层（参见下文 PHP 公共层版本与升级建议）；暂无法迁移的，请联系函数计算技术支持。 |
|
FC 3.0 内置 PHP 7.2 运行时（Event Handler） |
HTTP 请求由平台转换为事件后调用，影响边界与 FC 2.0 内置 PHP 7.2 运行时（Event Handler）相同：默认不涉及已知触发路径，函数代码自行适配 Web 请求、调用 CGI 代理或自行启动 PHP Web 服务的除外。 |
未涉及自行适配 Web 请求、调用 CGI 代理或自行启动 PHP Web 服务等触发路径的函数无需变更；涉及的函数建议迁移至自定义运行时 + 修复版 PHP 公共层（参见下文 PHP 公共层版本与升级建议）；暂无法迁移的，请联系函数计算技术支持。 |
|
自定义运行时 + PHP 公共层 |
取决于实际 PHP 版本与补丁状态；使用 PHP-FPM、CGI 等 Web 服务方式的业务请优先排查。 |
按下文 PHP 公共层版本与升级建议表，选择目标地域可用的修复版 PHP 公共层版本进行升级，完成兼容验证并替换旧实例。 |
PHP 7.2 已结束官方安全支持，无官方修复版本，也没有 PHP 7.2 修复公共层；PHP 8.0、PHP 8.1 修复公共层为存量业务过渡方案。使用非官方 PHP 公共层，或在自定义运行时中自带 PHP 的业务，请升级至 PHP 8.2.35、8.3.36、8.4.27、8.5.12 及以上版本。
解决方案
内置 PHP 7.2 运行时的解释器与调用链代码位于平台镜像的固定路径，公共层无法覆盖。内置运行时的处理方式为：迁移至自定义运行时并使用修复版 PHP 公共层，或按上文说明确认函数代码未涉及已知触发路径；暂无法迁移的，请联系函数计算技术支持。
PHP 公共层版本与升级建议
|
公共层 |
兼容运行时 / PHP 基线 |
不推荐版本 |
推荐版本 |
|
|
全部现有版本 |
无，需升级到更高版本的 PHP 公共层 |
|
|
|
v7 及以下 |
v8 及以上 |
|
|
|
v6 及以下 |
v7 及以上 |
|
|
|
v2 及以下 |
v3 及以上 |
|
|
|
v1 及以下 |
v2 及以上 |
|
|
|
无 |
v1 及以上 |
-
表中“版本”指层 ARN 末尾的
/versions/N。更新层版本不会自动作用于仍引用旧版本的函数，升级后请确认旧实例已全部替换并完成业务回归。 -
长期建议迁移至受支持的 PHP 版本 PHP85-Debian12，需使用
custom.debian12运行时并完成业务兼容验证。 -
配置公共层的具体操作，请参见配置官方公共层。
如需协助，请通过阿里云工单联系函数计算技术支持。