9.2 评分：PHP 拉响安全警报，今天将修复 2 个高危漏洞

IT之家 10 月 21 日消息，PHP 安全团队于昨日（10 月 20 日）发布通知，计划在协调世界时 10 月 21 日 14 点（北京时间 21 日 22 点）推出一次重要安全更新，以修复编号为 CVE-2026-109618 和 CVE-2026-109619 的两个高危漏洞。

根据官方声明，这两个漏洞在 CVSS v4.0 评分体系中均获得 9.2 分，被定性为“严重”等级；安全机构 watchTowr 确认，这两个漏洞属于 PHP 的零日远程代码执行（RCE）漏洞。IT之家附上相关截图如下：

有用户在 10 月 20 日于 Hacker News 发帖称，爆料显示两个影响 PHP 5 及以上版本的 RCE 漏洞即将被公开，相关截图随后在 X 和 Mastodon 平台上传播。watchTowr 随后确认这些漏洞确实存在，但表示目前无法透露更多技术细节。

PHP 官方最初计划在 10 月 22 日解除信息限制，现在将修复版本的发布提前至 10 月 21 日 14:00 UTC。官方指出，如果漏洞细节进一步泄露或出现实际被利用的迹象，发布时间还可能进一步提前。

目前没有公开证据表明这些漏洞已被大规模利用，也未发现官方提供的临时缓解方案。由于 PHP 是 WordPress、Drupal、Magento 以及众多共享主机服务的基础技术，网站管理员、云服务提供商和企业运维团队应尽快检查服务器上的 PHP 版本，并在补丁发布后立即进行升级。