PHP 官方罕见提前预警：两项 9.2 分严重漏洞，今晚 10 点发布修复｜请加班

全世界还在运行 PHP 的网站需要注意了，PHP 官方预警！ 10 月 20 日，PHP 官方突然发布了一份安全预警：PHP 核心存在两个严重安全漏洞，CVSS v4.0 评分均达到 9.2 分（满分 10 分）。 PHP 在官网宣布，将于 2026 年 10 月 21 日 22:00（北京时间） 发布紧急安全更新，并呼吁所有 PHP 用户提前做好升级准备。 这次比较特别，PHP 官方甚至没有等到补丁发布，就提前一天通知所有用户准备升级。 PHP 核心安全漏洞预警 9.2 / 10 CRITICAL · 严重 CVSS v4.0 · 两项严重安全漏洞 官方计划 10 月 21 日 22:00（北京时间）发布安全更新

据称可以远程执行代码

根据安全研究机构 watchTowr 以及多家安全媒体的报道，这两个漏洞可能是远程代码执行漏洞（RCE），编号分别为：

• CVE-2026-109618
• CVE-2026-109619 所谓远程代码执行，就是攻击者可能通过网络漏洞，让服务器执行恶意代码，严重时可能导致网站被控制、数据泄露。 目前流传的信息甚至称，PHP 5 以来的多个版本都可能受到影响。 不过需要注意，PHP 官方尚未确认漏洞编号、具体攻击方式及受影响版本。目前可以确定的是：确实存在两个严重漏洞，官方正在准备修复。

哪些 PHP 项目受影响

几乎所有的 php 都受影响，包括小众软件正在运行的 WordPress，以及其他一系列网站： 类型著名 PHP 项目主要用途 博客 / CMSWordPress博客、新闻网站、企业官网 CMSDrupal大型网站、政府及企业网站 CMSJoomla!内容管理系统 电商Magento (Adobe Commerce)电商网站 电商PrestaShop开源网店 电商WooCommerceWordPress 电商插件 论坛phpBB老牌开源论坛 论坛Flarum现代轻量论坛 论坛XenForo商业论坛程序 网盘Nextcloud自建网盘、文件同步与协作 网盘ownCloud文件管理与共享 管理工具phpMyAdminMySQL / MariaDB 数据库管理 IT 管理GLPIIT 资产与服务管理 在线教学Moodle在线课程、学校教学平台 CRMSuiteCRM客户关系管理 开发框架LaravelPHP Web 开发框架 开发框架Symfony企业级 PHP 开发框架 青小蛙听小熊猫说，一些站点因为该漏洞已经提前关闭，等待更新，包括：Miraheze全站、Weird Gloop全站、WikiOasis全站、Wikimedia全站宣布维护，其中Miraheze全站停止访问、WikiOasis全站停止访问，Weird Gloop全站访问受限制（包括Minecraft Wiki） 还是第一次见到这样的漏洞… 原文：https://www.appinn.com/php-critical-rce-vulnerability-2026/

相关阅读

• https://www.appinn.com/?p=36717
• https://www.appinn.com/shellbagsview-nirsoft/
• PowerToys、Wintoys 等 70 多款 Windows 软件遭遇冒牌官网攻击
• WordPress 爆出 9.2 分严重安全漏洞｜CVE-2026-87902
• Nginx rewrite 模块爆高危漏洞：可能已经存在十几年｜CVE-2026-42945 ©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南 3659b075e72a5b7b1b87ea74aa7932ff 点击这里留言、和原作者一起评论[ 点击前往获取链接 ]