PHP 官方罕见提前预警：两项 9.2 分严重漏洞，今晚 10 点发布修复｜请加班

全世界还在运行 PHP 的网站需要注意了，PHP 官方预警！

10 月 20 日，PHP 官方突然发布了一份安全预警：PHP 核心存在两个严重安全漏洞，CVSS v4.0 评分均达到 9.2 分（满分 10 分）。

PHP 在官网宣布，将于 2026 年 10 月 21 日 22:00（北京时间） 发布紧急安全更新，并呼吁所有 PHP 用户提前做好升级准备。

这次比较特别，PHP 官方甚至没有等到补丁发布，就提前一天通知所有用户准备升级。

PHP 核心安全漏洞预警

9.2

/ 10

CRITICAL · 严重

CVSS v4.0 · 两项严重安全漏洞

官方计划 10 月 21 日 22:00（北京时间）发布安全更新

据称可以远程执行代码

根据安全研究机构 watchTowr 以及多家安全媒体的报道，这两个漏洞可能是远程代码执行漏洞（RCE），编号分别为：

• CVE-2026-109618
• CVE-2026-109619

所谓远程代码执行，就是攻击者可能通过网络漏洞，让服务器执行恶意代码，严重时可能导致网站被控制、数据泄露。

目前流传的信息甚至称，PHP 5 以来的多个版本都可能受到影响。

不过需要注意，PHP 官方尚未确认漏洞编号、具体攻击方式及受影响版本。目前可以确定的是：确实存在两个严重漏洞，官方正在准备修复。

哪些 PHP 项目受影响

几乎所有的 php 都受影响，包括小众软件正在运行的 WordPress，以及其他一系列网站：

青小蛙听小熊猫说，一些站点因为该漏洞已经提前关闭，等待更新，包括：Miraheze全站、Weird Gloop全站、WikiOasis全站、Wikimedia全站宣布维护，其中Miraheze全站停止访问、WikiOasis全站停止访问，Weird Gloop全站访问受限制（包括Minecraft Wiki）

还是第一次见到这样的漏洞…

原文：https://www.appinn.com/php-critical-rce-vulnerability-2026/

相关阅读

• https://www.appinn.com/?p=36717
• https://www.appinn.com/shellbagsview-nirsoft/
• PowerToys、Wintoys 等 70 多款 Windows 软件遭遇冒牌官网攻击
• WordPress 爆出 9.2 分严重安全漏洞｜CVE-2026-87902
• Nginx rewrite 模块爆高危漏洞：可能已经存在十几年｜CVE-2026-42945

2021 青小蛙 for

小众软件

加入我们

投稿

订阅指南

3659b075e72a5b7b1b87ea74aa7932ff

点击这里留言、和原作者一起评论

[ 点击前往获取链接 ]