PHP将于21日发布更新修复两个严重漏洞

驱动中国10月21日消息，PHP安全团队于10月20日发布公告，宣布将于协调世界时10月21日14时（北京时间21日22时）发布安全更新，修复CVE-2026-109618和CVE-2026-109619两个严重漏洞。

官方公告显示，上述两个漏洞在CVSS v4.0体系中均被评为9.2分，属于严重级别。安全公司watchTowr确认，这两个漏洞是PHP中的零日远程代码执行（RCE）漏洞。

有网友于10月20日在Hacker News发帖称，两个影响PHP 5及以上版本的RCE漏洞即将披露，相关截图随后在X和Mastodon上流传。watchTowr确认漏洞真实存在，但表示暂无法披露更多技术细节。

PHP官方原计划于10月22日解除信息封锁，如今将修复版本发布时间提前至10月21日14时（UTC）。官方表示，若漏洞细节进一步公开或出现实际利用迹象，发布时间还可能继续提前。

目前尚无公开证据显示漏洞已被大规模利用，也未发现官方可用的临时缓解方案。由于PHP是WordPress、Drupal、Magento及大量共享主机服务的底层技术，网站管理员、云服务商和企业运维团队应尽快确认服务器PHP版本，并在补丁发布后立即升级。