发布时间：2026年10月21日风险等级：严重（Critical）
一、漏洞概况
PHP安全团队于北京时间10月21日22:00（UTC 14:00）提前发布紧急安全更新，修复两个位于PHP解释器核心的远程代码执行（RCE）漏洞，两个漏洞CVSS v4.0评分均为9.2分，属于最高级别的严重风险。
CVE编号：CVE-2026-109618、CVE-2026-109619
漏洞类型：核心层远程代码执行（无需依赖业务代码/框架）
披露背景：原计划10月22日解除信息封锁，因漏洞细节在Hacker News、X等平台提前泄露，且安全厂商watchTowr确认真实存在，官方提前一天发布修复补丁。
二、影响范围
官方支持的受影响分支：PHP 8.2、8.3、8.4、8.5 全系列未打补丁版本
厂商研判扩展范围：PHP 5及以上所有版本均可能受影响，覆盖市面上绝大多数现役PHP站点
受影响业务：所有基于PHP的网站、CMS系统（WordPress、Drupal、Magento等）、开发框架（Laravel、ThinkPHP等）全部受波及，漏洞在PHP内核层面触发，与业务代码无关。
三、修复版本
官方已为所有受支持的分支发布安全修复版本：
PHP 8.5 → 升级至 8.5.9
PHP 8.4 → 升级至对应最新安全修订版
PHP 8.3 → 升级至对应最新安全修订版
PHP 8.2 → 升级至对应最新安全修订版
⚠️ PHP 7.x、5.x 等已停止官方维护的版本无官方补丁，暴露在公网风险极高。
四、处置建议
1. 优先修复（必做）
立即将对应PHP版本升级至官方最新安全版，宝塔等面板用户可直接在PHP管理页面点击版本升级，升级后重启php-fpm服务生效。
2. 临时防护（无法立即升级时）
公网PHP站点前置WAF，添加PHP高危请求拦截规则
PHP 7及以下老旧版本站点，临时收敛公网访问，通过ACL限制仅可信IP访问
禁用不必要的PHP扩展与危险函数，缩减攻击面
3. 后续排查
升级后通过phpinfo()页面或命令行php -v确认版本号
未来72小时加强站点访问日志监控，重点关注异常上传、命令执行类请求
对存量站点批量排查PHP版本，避免遗漏边缘业务节点
五、风险提示
该漏洞为PHP内核级通用漏洞，利用门槛低，安全行业预判补丁公开后15分钟内即可出现大规模自动化扫描攻击。请所有PHP站点运维人员尽快完成修复，避免被入侵利用。
标签： PHP漏洞 紧急安全更新 分远程代码执行高危漏洞
