PHP远程代码执行漏洞预警：CVE-2026-109618/109619紧急补丁今晚发布

PHP 团队将于 2026 年 10 月 21 日 14:00（UTC，北京时间今晚 22:00）发布安全更新，修复两个 CVSS v4.0 评分高达 9.2 的严重漏洞。

泄露信息将这两个漏洞与 CVE-2026-109618 和 CVE-2026-109619 关联，二者被描述为 PHP 核心中的远程代码执行漏洞。

补丁正式发布前，一段名为 PHP2Shell 的演示视频已在 X 平台流出。视频中攻击者对 WordPress、Magento、Drupal 等 9 款主流应用成功实现了命令执行回显，权限为 www-data。一旦被真实利用，攻击者很可能直接拿下 Web 服务器的操控权，威胁等级相当高。管理员应立即完成 PHP 资产盘点，在补丁发布的第一时间完成更新。

漏洞影响版本

PHP >= 5.4.0 均存在 RCE 风险，演示环境为 Ubuntu 26.04 + PHP 8.5.4。

这个版本范围几乎覆盖了过去十余年发布的所有 PHP 版本，也就是说大量线上环境都可能暴露在风险之中。

漏洞 CVE 编号

CVE-2026-109618、CVE-2026-109619

参考链接

PHP 官方安全公告：

https://www.php.net/archive/2026.php#2026-10-20-1

新闻链接：

https://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/