PHP 超高危远程代码执行漏洞预警：今晚 10 点发布紧急修复

PHP 官方刚刚发布超高危安全漏洞预警：旧版本存在远程代码执行漏洞，修复版本预计将在今晚 10 点发布。目前已知的两个漏洞评分均为 9.2 分，均涉及远程代码执行问题。建议使用 PHP 的用户密切关注今晚 10 点的版本更新；如果暂时无法升级，甚至可以提前考虑停机避险。

PHP 安全团队刚刚发布紧急安全预警，该团队将在 2026 年 10 月 21 日 22:00（国内时间）发布紧急安全更新，用于修复两个高危安全漏洞。

目前官方尚未公布具体漏洞细节，但根据坊间流传的信息，旧版 PHP 存在远程代码执行漏洞，且只需默认安装配置即可触发，不需要任何特殊条件。

暂时不公布漏洞情况

PHP 安全团队在声明中表示，更新发布后建议所有用户立即升级到最新版本；新版本发布后，受影响版本范围、修复版本以及部分漏洞细节将会陆续公开。官方同时强调，如果漏洞细节被提前公开，或者出现野外利用的证据，不排除提前发布修复版本的可能。

目前已知的漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，评分均为 9.2 分。根据修复计划，PHP 团队仅会为 PHP 8 系列提供安全更新；PHP 5.6 和 7.x 等旧版本将无法获得官方修复，届时是否会有第三方缓解方案还未可知。

接下来可能会出现海量攻击

PHP 的使用率极高，但大量网站仍然运行在已经停止支持的旧版本上。网络空间观测数据显示，在 150 万个暴露的 PHP 主机中，约有 59.4% 使用的是无法获取更新的旧版 PHP。修复版本一旦发布，核心漏洞的利用难度可能很快被黑客分析清楚，随之而来的可能就是批量扫描和攻击。

因此，接下来可能会有大量网站因 PHP 漏洞而遭到入侵。这次事件的潜在危害性极高，建议使用 PHP 的用户务必关注今晚 10 点发布的版本更新；如有必要，甚至可以提前停机，等确认修复方案后再恢复服务。

以上信息基于 PHP 官方预告整理，具体漏洞范围与修复内容以今晚 10 点发布的版本为准。后续进展可关注 云栈社区 的安全资讯动态。