PHP 就两个 CVSS 9.2 级漏洞预警，敦促管理员准备打补丁

PHP 安全团队于 10 月 20 日发布安全公告，就两个严重漏洞向用户发出预警，两个漏洞的 CVSS v4.0 评分均为 9.2。团队表示，完整技术细节、受影响版本和修复版本将与补丁一同公布，更新定于 10 月 21 日 14:00 UTC 发布。

公告未点名具体 CVE 编号，也未说明漏洞成因。公开报道将此次修复与 CVE-2026-109618 和 CVE-2026-109619 联系起来，安全公司 watchTowr 称二者为远程代码执行漏洞；CERT-EU 的公告同样引用这两个编号，并警告可能存在无需认证的远程代码执行风险。

预警与发布时间

PHP 安全团队在官方安全公告中说明，完整技术细节、受影响版本清单和修复版本将与补丁同步公布，而不是提前披露。团队同时保留提前发布更新的可能：一旦任一漏洞被公开，或出现遭到主动攻击的证据，补丁就会在既定时间之前放出。这一提前发布的表述被定位为预防性安排，并不等于已经确认攻击发生。

从公告发布到补丁上线，留给网站所有者和托管服务商的时间窗口很短。报道指出，管理员需要在这段时间内确认各套 PHP 环境由谁负责、更新如何进入生产系统，以便补丁一发布就能着手部署。

安全公司 watchTowr 将二者描述为已报告的远程代码执行漏洞，即攻击者可能借此在受影响服务器上运行自己的代码。

在 watchTowr 发布更新时，尚无已知的在野利用情况。后续更新信息显示，一个公开的概念验证仓库提供了验证工具和实验环境，用于测试被称为 php2shell 的两个 PHP 严重漏洞；Cloudflare 也表示，在 PHP 安全团队计划发布之前，已观察到针对这两个漏洞的早期利用尝试。

评分方面，PHP 公布的评级为每个漏洞 CVSS v4.0 9.2。部分早期帖子曾把问题描述为最高 10.0 的严重级别，报道建议在更多细节说明实际风险和攻击条件之前，以官方评分为准。

PHP 的提前通知没有点名具体 CVE 编号，也没有解释漏洞的成因和运作方式。因此，公开报道中的编号与漏洞性质属于外部信息，应与 PHP 直接确认的较窄事实区分开来。

受影响范围同样存在未确认之处。有报道称漏洞可能影响 PHP 5 及之后的版本，但厂商尚未确认这一宽泛说法。PHP 也还没有确定默认安装是否受影响、需要哪些配置条件，以及特定操作系统是否面临更高风险。

报道因此提醒，在官方受影响版本清单公布之前，不应仅凭配置与网上流传的说法不同，就判定某套部署是安全的。

CERT-EU 建议现在就梳理 PHP 应用，并在修复版本可用后尽快为受影响系统打补丁。对于无法立即打补丁的情况，机构可以考虑把面向互联网的应用与公共网络隔离，直至修复到位；是否隔离需权衡服务可用性和业务需要。

补丁发布后，管理员应核对官方受影响版本列表，及时应用相应修复，并在完成后核实实际运行的 PHP 版本。报道还提示，针对早前 PHP 漏洞的补丁不能假定可以覆盖本次发布所涉及的两个漏洞，因为涉及的组件和修复并不相同。

报道以 CVE-2024-4577 作为参照：这是一个另外的 PHP 漏洞，披露后 24 小时内就检测到利用尝试，被记录为遭到主动利用。这段历史为紧急的补丁规划提供了背景，但并不能证明此次两个新漏洞已被利用。

报道还提到，2026 年早些时候曾出现 PHP SOAP 扩展的漏洞，属于不同的组件与修复。这些先例说明 PHP 生态中的严重漏洞往往很快进入实际攻击视野，但就本次预警而言，PHP 关于可能提前发布的提示仍属预防措施，涉及泄露演示或利用代码的说法也不应被当作针对真实目标攻击的证据。