9.2 评分：PHP 拉响安全警报，今天将修复 2 个高危漏洞 - 二十一点分牌

IT之家 10 月 21 日消息，PHP 安全团队于昨日（10 月 20 日）发布声明，确认将在协调世界时 10 月 21 日 14 点（北京时间 21 日 22 点）推出重要安全更新，用于修复 CVE-2026-109618 和 CVE-2026-109619 这两个高危漏洞。

根据官方公告，这两个漏洞在 CVSS v4.0 评分系统中均获得 9.2 分，被归类为“严重”级别；安全公司 watchTowr 已确认，它们属于 PHP 中的零日远程代码执行（RCE）漏洞。IT之家附上相关截图如下：

有网友于 10 月 20 日在 Hacker News 发帖称，有消息指出两个影响 PHP 5 及以上版本的 RCE 漏洞即将公开，相关截图随后在 X 和 Mastodon 平台传播，watchTowr 随后确认漏洞确实存在，但表示暂时无法透露更多技术细节。

PHP 官方最初计划在 10 月 22 日解除信息封锁，现在将修复版本的发布提前至 10 月 21 日 14:00 UTC。官方表示，如果漏洞细节进一步泄露或出现实际利用迹象，发布时间还可能继续提前。

目前尚无公开证据表明漏洞已被大规模利用，也未发现官方提供的临时缓解方案。由于 PHP 是 WordPress、Drupal、Magento 及大量共享主机服务的基础技术，网站管理员、云服务商和企业运维团队应尽快检查服务器 PHP 版本，并在补丁发布后立即进行升级。