一、漏洞全局信息与受影响资产盘点

1. CVE官方核心数据

漏洞编号CVE-2026-7261，漏洞类型CWE-416释放后重用内存破坏漏洞，NVD官方CVSS3.1评分9.8，评级Critical高危。

攻击链路全程走网络，攻击者不需要登录系统、不需要配合用户操作，仅发送构造完成的HTTP SOAP请求包就能触发内存损坏。漏洞成功触发后可同时破坏服务器机密性、完整性、可用性三类安全边界。

漏洞触发依赖两个前置条件同时成立：服务器编译PHP时启用soap扩展；业务代码调用setPersistence开启SOAP_PERSISTENCE_SESSION持久会话模式。缺少任意一项，攻击链路直接断裂。

PHP底层缺陷位于ext/soap扩展服务端请求异常处理分支，官方2026年6月推送补丁修复内存指针释放逻辑。

2. 全分支受影响版本明细

当前线上主流PHP8长期支持分支全部覆盖漏洞，无例外版本豁免：

1）PHP 8.2 系列：8.2.0 ~ 8.2.30，安全基线最低8.2.31

2）PHP 8.3 系列：8.3.0 ~ 8.3.30，安全基线最低8.3.31

3）PHP 8.4 系列：8.4.0 ~ 8.4.20，安全基线最低8.4.21

4）PHP 8.5 开发分支：8.5.0 ~ 8.5.5，安全基线最低8.5.6

Windows、Linux、macOS系统不受限制，只要搭载上述版本且开启soap持久会话，服务器暴露攻击面。

3. 资产暴露风险分级标准

企业内网ERP、供应链对接SOAP接口、对外第三方开放WebService接口属于一级高危资产，攻击者能直接通过公网投递恶意载荷。

仅内部系统调用、限制内网IP访问的SOAP服务属于二级中危资产，内网横向渗透拿下一台主机后可批量爆破同网段PHP服务。

编译关闭soap扩展、未调用SOAP_PERSISTENCE_SESSION的PHP环境属于三级无风险资产，无需紧急处置，纳入常规月度巡检即可。

二、SoapServer持久会话底层运行架构与漏洞触发流程图

1. 正常持久会话内存调度架构

1）正常业务对象生命周期逻辑

业务初始化SoapServer实例，传入处理业务逻辑的Handler对象，执行setPersistence(SOAP_PERSISTENCE_SESSION)标记持久化。

客户端首次发起SOAP调用，PHP创建Handler堆内存对象，存入进程会话上下文，请求执行完毕不执行内存销毁函数zval_ptr_dtor。

后续同会话下所有SOAP请求直接复用上下文内已存在的Handler实例，减少反复创建销毁对象带来的性能损耗。

会话生命周期结束（客户端断开、会话超时），统一遍历上下文全部对象批量释放堆内存，无悬空指针残留。

2）架构示意图文字说明

客户端SOAP请求 → Nginx/Apache反向代理 → PHP-FPM Worker进程

进程内存分区：栈内存（请求临时变量）+ 堆内存（Handler业务对象）

持久会话标记开启 → Handler存入Session上下文哈希表

单次请求结束 → 跳过对象析构函数

会话过期销毁 → 批量清理哈希表内全部对象内存

2. 漏洞触发完整流程

1）恶意客户端发送格式畸形、标签嵌套异常的SOAP XML POST报文，报文内部构造非法参数强制业务逻辑抛出运行异常。

2）PHP soap扩展进入fault错误处理分支，执行zval_ptr_dtor主动释放堆内存中的持久化Handler对象。

3）内存释放完成，程序未清空上下文哈希表内存储的对象指针，悬空指针留存。

4）代码继续执行Fault错误报文组装、异常日志写入、会话上下文回写三步操作，循环读取悬空指针指向的已回收堆内存。

5）堆内存空间会被系统分配给新变量、新对象覆盖，攻击者精准控制内存布局，篡改虚函数表指针、回调函数地址。

6）函数指针被覆盖后，PHP进程执行攻击者预设的任意原生代码，完成远程代码执行。

3. 漏洞缺陷原始C代码对比

漏洞未修复源码片段（ext/soap/soap_server.c）

if (fault_occurred) {    zval_ptr_dtor(handler_obj);    generate_soap_fault(&fault_out);    write_session_context(session_hash);}

这段代码不区分会话持久化状态，只要出现异常就直接销毁handler_obj，释放后后续代码持续访问该指针。

官方补丁修复后代码

if (fault_occurred) {    if (persistence_mode != SOAP_PERSISTENCE_SESSION) {        zval_ptr_dtor(handler_obj);    }    generate_soap_fault(&fault_out);    write_session_context(session_hash);}

新增持久模式判断逻辑，开启SOAP_PERSISTENCE_SESSION时跳过主动析构，对象内存统一交由会话销毁流程回收，彻底消除悬空指针来源。

三、一键批量检测脚本：服务器是否存在CVE-2026-7261风险

1. Linux全服务器批量检测Shell脚本（可直接复制执行）

脚本功能：检测PHP版本、soap扩展启用状态、扫描全站代码SOAP_PERSISTENCE_SESSION关键字，输出风险等级与处置建议

#!/bin/bash# CVE-2026-7261 批量风险检测工具 v1.0LOG_PATH="/tmp/cve_2026_7261_check.log"WEB_ROOT_LIST=("/var/www/html" "/home/wwwroot" "/usr/share/nginx/html")echo "===== CVE-2026-7261 风险检测开始 LOG_PATH# 1. 获取PHP全部可用二进制文件PHP_BIN_LIST=i}')if [ -z "LOG_PATH    exit 0fi# 遍历每个PHP程序检测版本与soap扩展for php in php ];then        continue    fi    PHP_VER=$($php -v|head-n1|awk'{print php 版本：LOG_PATH    # 判断版本是否处于受影响区间    VER_MAJ=PHP_VER |cut -d. -f1)    VER_MIN=PHP_VER |cut -d. -f2)    VER_PATCH=PHP_VER |cut -d. -f3)    RISK_VER=0    if [ VER_MIN in        82)            if [ VER_PATCH -lt 31 ];then RISK_VER=1;fi        ;;        84)            if [ VER_PATCH -lt 6 ];then RISK_VER=1;fi        ;;        esac    fi    if [ PHP_VER 版本安全，跳过扩展检测" >> (SOAP_STATUS" ];then        echo "LOG_PATH        continue    fi    echo "LOG_PATH    # 扫描网站目录持久化关键字    HAS_PERSIST=0    for web_path in web_path ];then continue;fi        grep -r "SOAP_PERSISTENCE_SESSION" ? -eq 0 ];then            HAS_PERSIST=1            echo "目录LOG_PATH        fi    done    if [ LOG_PATH    fidoneecho "===== 检测完成，日志文件：LOG_PATH

使用方式：

1）将代码保存为cve_scan.sh

2）chmod +x cve_scan.sh

3）./cve_scan.sh 直接执行，日志输出/tmp目录可留存归档

2. Windows环境检测批处理脚本

@echo offecho CVE-2026-7261 Windows本地检测工具set log=%temp%\cve_2026_7261_log.txtecho 检测日志输出路径：%log%php -v >> %log%php -m | findstr soap >> %log%findstr /s /m "SOAP_PERSISTENCE_SESSION" C:\inetpub\wwwroot\*.php >> %log%echo 检测结束，查看日志确认风险等级notepad %log%pause

3. 单文件PHP检测探针（上传站点直接访问）

文件名soap_check.php，上传网站根目录浏览器打开即可出检测结果

<?phpheader("Content-Type:text/plain;charset=utf-8");echo "=== CVE-2026-7261 站点探针检测 ===\n";v."\n";ext ? "已启用" : "未加载")."\n";// 版本风险判断list(mi,v);ma == 8){    switch(riskVer = riskVer = riskVer = riskVer = riskVer ? "是" : "否")."\n";// 扫描当前目录代码res) ? "无匹配代码" : riskVer || !res)){    echo "当前站点无CVE-2026-7261攻击面\n";}else{    echo "高危漏洞暴露，立即执行修复操作\n";}

四、漏洞本地复现环境搭建教程

1. 漏洞环境编译安装受影响PHP版本

1）源码编译依赖安装（CentOS7/8）

yum install gcc gcc-c++ make libxml2-devel openssl-devel bzip2-devel libcurl-devel

2）Debian/Ubuntu依赖

apt install build-essential libxml2-dev libssl-dev libbz2-dev libcurl4-openssl-dev

3）下载漏洞版本PHP源码并编译开启soap扩展

以漏洞版本PHP8.4.20举例

wget https://www.php.net/distributions/php-8.4.20.tar.gztar -zxvf php-8.4.20.tar.gzcd php-8.4.20./configure --enable-soap --enable-fpm --with-openssl --with-curlmake -j4make install

编译完成后执行php -v确认版本，php -m确认soap扩展存在。

2. 存在漏洞的SOAP服务测试代码

新建server.php，搭建带持久会话的漏洞服务端

<?phpclass TestHandler {    public function getData(param];    }}server = new SoapServer(server->setClass(TestHandler::class);// 漏洞触发核心配置server->handle();

启动内置测试服务

php -S 127.0.0.1:9000 server.php

3. 恶意请求POC载荷（触发内存异常）

恶意客户端client.php，构造畸形XML强制抛出Fault异常

<?phpmaliciousData = new stdClass();client->getData(e){    var_dump(client->__getLastResponse();

执行php client.php，观察PHP内置服务进程出现段错误、内存读写报错，漏洞触发成功。

五、三类修复方案分步操作指南

1. 根治方案：升级PHP至安全基线版本（生产环境首选）

1）CentOS/RHEL yum升级完整流程

# 刷新软件源缓存yum clean all && yum makecache# 批量更新全部PHP组件yum update php php-cli php-fpm php-soap -y# 重启PHP-FPM服务加载新版本systemctl restart php-fpm# 校验升级结果php -vphp -m | grep soap

2）Debian/Ubuntu apt升级流程

apt updateapt full-upgrade php8.4* -ysystemctl restart php8.4-fpmphp -v

3）源码环境增量补丁修复（不完整重装PHP）

仅替换ext/soap扩展漏洞代码，适合无法停机完整升级业务

① 进入原有PHP源码目录ext/soap文件夹

② 替换soap_server.c为官方修复后源码

③ 执行编译扩展

cd ext/soapphpize./configuremakecp modules/soap.so /usr/local/php/lib/php/extensions/no-debug-non-zts-20240924/

④ 重启PHP-FPM加载新扩展文件

2. 临时应急止损方案（业务无法停机升级）

1）代码层注释持久化配置

全局检索setPersistence(SOAP_PERSISTENCE_SESSION)全部注释

修改示例：

//  {    fastcgi_pass 127.0.0.1:9000;    fastcgi_index index.php;    fastcgi_param SCRIPT_FILENAME fastcgi_script_name;    # 限制POST请求体最大512KB    client_max_body_size 512k;    # 匹配SOAP Fault畸形特征拦截    if ($request_body ~* "<faultstring>|<detail>") {        return 403;    }}

重载Nginx配置：systemctl reload nginx

3. 最小权限加固配套配置清单

1）PHP-FPM运行用户降权配置

修改php-fpm.conf pool配置，禁止root运行进程

[www]user = www-datagroup = www-datalisten = /run/php/php8.4-fpm.socklisten.owner = www-datalisten.group = www-datalisten.mode = 0660

低权限进程即使被RCE，攻击者无法读取服务器系统配置、数据库密钥。

2）对外SOAP接口IP访问白名单Nginx配置

location /soap_server.php {    # 放行内网、合作方固定IP    allow 192.168.0.0/16;    allow 10.0.0.0/8;    deny all;    fastcgi_pass 127.0.0.1:9000;}

六、修复后常态化巡检与监控方案

1. 定时自动巡检定时任务crontab配置

每天凌晨2点自动执行漏洞检测脚本，输出日志留存归档

0 2 * * * /root/cve_scan.sh >> /var/log/cve_daily_check.log

2. 日志异常监控规则（ELK/云监控告警）

配置监控触发告警条件，任意一条命中推送短信/企业微信通知：

1）一分钟内SOAP接口Fault报错超过20条

2）PHP-FPM进程频繁crash、segment fault崩溃日志

3）公网陌生IP高频POST访问soap服务端文件

4）服务器新增低于安全基线的PHP版本实例

3. 月度资产安全检查清单

1）遍历所有业务服务器PHP版本基线核对

2）清理业务代码废弃未使用的SoapServer文件

3）校验php.ini未启用不必要扩展（soap、ldap、imap等）

4）复核SOAP接口访问白名单，清理过期合作方IP

七、线上业务处置常见踩坑问题

1. 升级PHP后业务代码报错

升级后部分废弃函数、参数失效，提前搭建预发布环境完整回归测试，禁止直接线上热更版本。

2. 注释持久会话后接口QPS下降

会话不复用会频繁创建Handler对象，并发上涨时增加PHP进程开销，短期扩容php-fpm进程池缓解性能衰减，长期完成版本升级根治。

3. 内网无公网访问忽视漏洞风险

攻击者通过Webshell、弱密码拿下内网一台主机后，可横向扫描同网段全部SOAP服务批量利用，内网接口防护标准和公网接口保持一致。

4. 仅依靠WAF防护不升级PHP

WAF规则存在绕过可能性，畸形XML特征可变形规避正则拦截，WAF只能作为辅助防护手段，不能替代版本升级。

八、漏洞安全延伸与企业WebService长效防护思路

1. WebService接口通用风险点汇总

除本次UAF漏洞外，PHP SoapServer长期存在注入、XML外部实体XXE、未授权访问三类高频漏洞，业务上线前统一做安全扫描。

开发规范强制要求：SOAP请求XML格式校验、参数长度限制、接口鉴权Token校验，拒绝裸接口对外暴露。

2. 企业PHP版本统一管理方案

搭建内部软件源仓库，统一管控全部服务器PHP安装包版本，新服务器初始化自动部署安全基线版本，避免运维人员手动安装漏洞版本。

开发侧容器镜像标准化，基础镜像内置修复后PHP版本，容器上线前自动执行漏洞探针检测，镜像存在风险直接阻断发布流水线。

互动提问

1. 你们企业线上是否大量使用PHP SoapServer对接第三方业务？临时注释持久会话后遇到了哪些性能问题？

2. 除了文中提供的批量检测脚本，你平时会用哪些自动化工具扫描PHP内存破坏类高危漏洞？