PHP 警告两个严重漏洞，紧急补丁将于明日发布

PHP 开发团队于 10 月 20 日发布公告，计划在 10 月 21 日 14:00 UTC 发布安全更新，修复两个按 CVSS v4.0 评分均为 9.2 的漏洞。团队同时向 ANNOUNCE 邮件列表发出通知，敦促管理员在更新发布后尽快安装。

安全研究机构 watchTowr 向 BleepingComputer 表示，这两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，属于远程代码执行漏洞，据信影响 PHP 5、6、7、8 版本。相关信息在预定披露时间之前已被泄露。

漏洞与评分

PHP 开发团队在公告中说明，此次更新针对两个漏洞，每个漏洞按 CVSS v4.0 标准评分均为 9.2。团队没有披露漏洞的技术细节，包括受影响的 PHP 版本、利用方式，以及哪些发行版本会包含修复。

PHP 安全团队表示，将保留提前发布更新的权利，前提是任一漏洞的细节已经公开，或者出现野外活跃利用的证据。团队称，完整技术细节、受影响版本和修复版本将在安全更新发布时一并公布。

泄露经过

该机构称已成功复现 CVE-2026-109618，但在补丁可用前不会公开技术信息。

watchTowr 首席执行官 Benjamin Harris 表示，两个 PHP 远程代码执行漏洞在最近一小时内被泄露，原定于周四上午 11 时（美东时间）在禁发期结束后公布。他说，出于敏感性考虑，现阶段无法分享技术信息，但可以确认漏洞真实存在。

watchTowr 在 X 上发文称，相关信息在原本约定的披露时间之前已经泄露，并确认漏洞属实。该机构同时说明，尽管信息提前流出，目前尚未观察到这些漏洞在野外被利用。

BleepingComputer 还看到 Y Combinator 旗下 Hacker News 论坛上一则已被删除的帖子。用户 petecooper 在帖中称，两个严重的 PHP 远程代码执行漏洞将于 10 月 22 日披露，评分均为 10.0，影响范围可追溯至 PHP 5，并给出了与 watchTowr 后来分享的一致的漏洞编号。

官方回应与安排

watchTowr 的说法与 Hacker News 帖子同 PHP 官方公告存在差异。两者均将漏洞描述为 CVSS 10.0，而 PHP 安全团队给出的 CVSS v4.0 评分为 9.2；watchTowr 提到原定周四披露，PHP 官方则将安全版本定在 10 月 21 日上午发布。

影响范围

PHP 被大量网站和 Web 应用使用，包括内容管理系统、电商平台和自建 Web 服务。若这两个远程代码执行漏洞确实覆盖 PHP 5 至 8 多个版本，受影响面将涉及仍在运行旧版本的各类部署环境。

目前受影响版本、利用条件和修复版本均未由 PHP 官方确认，watchTowr 关于影响 PHP 5、6、7、8 的判断属于研究机构说法。漏洞是否已被实际利用，也尚无证据。

管理员应对

PHP 安全团队建议管理员为紧急更新做好准备，在补丁发布后立即安装。由于官方尚未公布受影响版本清单，管理员可先梳理现有 PHP 部署的版本分布，并关注 ANNOUNCE 邮件列表和官方公告的后续信息。

在补丁可用前，watchTowr 以敏感性为由不公开技术细节，并称未发现野外利用。对于无法立即升级的环境，需等待官方发布受影响版本和修复版本信息后再评估处置方案。

要点

• PHP 计划 10 月 21 日 14:00 UTC 发布安全更新
• 两个漏洞 CVSS v4.0 评分均为 9.2
• 漏洞编号为 CVE-2026-109618 和 CVE-2026-109619
• watchTowr 称两个漏洞均为远程代码执行漏洞
• watchTowr 称尚未观察到漏洞在野利用