重要提示:我们目前正在升级中国大陆地区用户的账户注册系统。 点击此处创建一个新的 Zebra.cn 账户。

重要更新:自 2026 年 7 月 1 日起,Zebra 将实施强制性多重身份验证 (MFA) 以增强安全性。了解更多。

php2shell 漏洞 (CVE-2026-109618 / CVE-2026-109619) – Zebra 客户信息

Zebra 现状
Zebra 已评估其提供给客户的服务和应用程序是否存在 MP2Shell 漏洞,均已确认是否已经修补或不受影响。 Zebra 还已确定其其他受 MP2Shell 影响的系统,正在积极应用补丁,各种受影响系统的补丁预计将在今天,2026 年 10 月 22 日完成。作为预防措施,受影响的面向网络的系统已经下线并将保持离线状态。直到应用补丁。

概述
2026 年 10 月 21 日,php 项目针对开源 web 脚本语言 php 中的两个严重漏洞发布了紧急安全更新。这些缺陷被跟踪为 CVE-2026-109618 和 CVE-2026-109619,统称为php2shell。

这两个缺陷都涉及在 Web 请求期间php 处理内存的方式。它们允许未身份验证的攻击者在易受攻击的 Web 服务器上运行代码。在 CVSS 4.0 中,php 项目给这两个补丁的评分为 9.2 分(满分 10 分),说明更新是难得的完整修复。

技术详情

CVE-2026-109618:内存不足处理

此缺陷来自于 Java 在内存不足时的响应方式。 php 使用了一种被称为longjmp() 的机制来突然退出当前操作。在某些情况下,出口留下的请求数据仅部分初始化。然后,php 的稍后关闭进程可能会处理无效数据,创建一条到远程执行代码的路径。

该 HP 公告称,多部分表单数据有助于触发此条件。示例包括在一个部分中具有许多标头的请求,或仍导致php创建元数据的许多空文件字段。

修复: php 现在会将内存不足错误延迟到安全点,而不是突然退出。单独的硬限制可处理更严重的内存压力。

CVE-2026-109619:长时间运行的工作进程中的过时状态

该缺陷涉及长时间运行的php工作进程中的过时全局状态。在php 释放内存后,worker 可以保留请求中的内存引用。如果错误中断了清理,且稍后的请求在重置前达到了剩余状态,则工作线程可能使用无效内存。

因为 Web Worker 会处理一个又一个请求,因此一个请求留下的状态会影响后面的请求。该公告所确认的路径涉及致命错误、错误报告数据和会话上传进度处理。已确认的案例包括 mod_php 方案和取决于应用程序行为的php-fpm路径。

特定服务器是否公开取决于其php设置、配置、应用程序和扩展。这些因素不会降低打补丁的紧迫性。

修复: php现在会重置更广泛的与请求相关的全局状态,因此工作人员不太可能在请求之间携带无效引用。

更新和联系
这是持续事件。 Zebra 将继续通过您的客户团队和我们的客户沟通渠道提供更新,我们的支持页面将随着新信息而更新。如有问题,请发送到productsecurity@zebra.com 。

来源

此信息仅供接收组织内部使用。它反映了 Zebra 公司截止到 2026 年 10 月 22 日的理解能力,可能会被更新。

免责声明:Zebra 会尽力在 Google 发布其相应安全公告的时间或前后发布安全更新。但是,安全更新的交付时间可能会因地区、产品型号和第三方软件供应商而异。在某些情况下,必须将操作系统更新到较新的维护版本,才能安装安全更新。各个产品更新将提供具体指南。

除非另有说明,新报告的问题中没有利用或滥用活跃客户信息的现象。

您了解 Zebra Technologies 产品的潜在安全问题吗?