PHP安全团队发出预警：两个漏洞的CVSS v4.0评分均为9.2，补丁定于2026年10月21日（周三）14:00 UTC发布。留给网站所有者和托管服务商准备的时间，只有很短一段。

打开网易新闻 查看精彩图片

10月20日发布的官方安全公告称，完整技术细节、受影响版本清单和修复版本会随补丁一同公布。如果任一漏洞提前公开，或出现遭活跃攻击的证据，团队可能提前发布更新。

公开报道把这次修复与CVE-2026-109618和CVE-2026-109619两个编号联系起来。安全公司watchTowr将其描述为已报告的远程代码执行漏洞——攻击者可能借此在受影响服务器上运行自己的代码。但PHP的提前通知既没有点名这两个CVE，也没有解释漏洞的具体原理。

CERT-EU的公告同样引用了这两个编号，并警告可能存在无需认证的远程代码执行。其评估部分依据泄露信息。管理员需要把这类报道与PHP直接确认的有限事实分开看待。

有报道称漏洞可能影响PHP 5及之后的版本，厂商尚未确认这一宽泛说法。默认安装是否受影响、需要哪些配置条件、特定操作系统是否风险更高，PHP目前都还没有定论。

一些早期帖子把问题描述为最高10.0的严重级别。PHP公布的评级是每个漏洞在CVSS v4.0下均为9.2。在更多细节解释底层风险和攻击条件之前，应以官方评分为准。

补丁尚未落地，攻击证据同样为零

截至公告更新时，watchTowr报告未发现野外已知利用。PHP提到可能提前发布，属于预防性安排，并不等于攻击已经发生。涉及泄露演示或利用代码的说法，不应被当作针对真实目标攻击的证明。

过往事件说明了快速准备的必要性。网络安全媒体Cybersecurity News记录过另一个PHP漏洞CVE-2024-4577的活跃利用，披露后24小时内就检测到利用尝试。这段历史为紧急补丁计划提供了参照，但不能证明此次两个新漏洞已被利用。

该媒体2026年早些时候还报道过PHP SOAP扩展的漏洞，那些问题涉及不同组件和修复方案。管理员不应假设装上针对早期PHP漏洞的补丁，就能覆盖本次发布所处理的两个漏洞。

CERT-EU建议现在就盘点PHP应用，一旦修复版本可用，立即为受影响系统打补丁。无法立即修补时，可考虑把面向互联网的应用与公共网络隔离，直到补丁到位。隔离决策需要权衡服务可用性和业务需求。

团队应利用这段准备窗口确认：每套PHP安装由谁负责、更新如何抵达生产系统。发布到来后，核对官方受影响版本清单、及时应用对应修复，并在事后验证正在运行的PHP版本。在此之前，不能仅凭配置与网上流传的说法不同，就宣布某次部署是安全的。