PHP 官方发布紧急安全预告，确认即将修复两个严重安全漏洞，CVSS v4.0 评分均为 9.2 分（Critical）。安全研究公司 watchTowr 指出，这两个漏洞涉及远程代码执行（RCE），攻击者可能利用漏洞在受影响服务器上执行恶意代码，甚至获取服务器控制权限。
两个漏洞编号分别为 CVE-2026-109618 和 CVE-2026-109619。
此次漏洞涉及 PHP 核心组件，因此使用 WordPress、Laravel 等 PHP 应用的网站，以及通过宝塔等面板管理的服务器，都需要关注底层 PHP 运行环境的安全性。
安全公司 Sansec 报告称，受影响范围可能覆盖 PHP 5.4 及之后的多个版本，包括目前仍被大量网站使用的 PHP 5.6、7.x 和 8.x。完整影响范围有待官方补丁公告确认。
PHP 官方计划于北京时间 10 月 21 日 22:00 发布安全补丁，预计覆盖仍受官方维护的 PHP 8.2、8.3、8.4 和 8.5 分支。PHP 8.1 及更早版本已经停止官方安全支持，相关服务器应尽快迁移至受支持版本。
Sansec 警告，补丁公开后，攻击者可能迅速分析修复代码并开发利用程序，预计最快 15 分钟内就可能出现大规模自动化扫描和攻击。
目前尚无公开证据表明这两个漏洞已经遭到大规模实际利用。
建议服务器管理员立即检查 PHP 版本，提前准备升级，并在官方发布补丁后尽快完成修复。
相关来源：