- PHP 披露两个 CVSS v4.0 评分为 9.2 的远程代码执行漏洞，可能引发网站接管、数据窃取及恶意重定向。
- 漏洞细节在官方补丁发布前遭泄露，促使 PHP 安全团队提前发出预警并建议管理员紧急准备升级。
- WatchTowr 等研究机构证实漏洞真实存在，预计影响范围涵盖 PHP 5、6、7 及 8 版本。
作为全球使用最广泛的 Web 应用程序编程语言之一，PHP 近期曝出两个关键级别的安全漏洞。这些缺陷若被利用，攻击者可实现远程代码执行，进而导致网站控制权丢失或敏感数据泄露。
安全预警与时间线
PHP 官方发布了一项新的安全咨询，旨在向系统管理员提供即将发布的补丁预警。根据公告，相关安全版本计划于 2026 年 10 月 21 日星期三 14:00 UTC 发布。
此次更新将修复两个被评为 CVSS v4.0 9.2 分的关键漏洞。PHP 安全团队建议所有用户立即着手准备，以便在补丁发布后迅速完成升级。官方表示，若发现漏洞细节进一步公开或在野外出现积极利用证据，保留提前发布补丁的权利。具体的受影响版本和修复版本将在正式发布公告时一并披露。
这一非典型的提前预警源于漏洞信息的意外泄露。本周早些时候，Y Combinator 黑客新闻论坛出现一篇帖子，声称 PHP 将于 2026 年 10 月 22 日披露两个远程代码执行错误。尽管该帖子随后被删除，无法独立验证其原始内容，但据 BleepingComputer 报道，原帖声称这些错误的 CVSS 分数为 10.0，且影响可追溯至 PHP 5 版本。
帖子中提到的 CVE 编号 CVE-2026-109618 和 CVE-2026-109619 随后得到证实。唯一的偏差在于严重性评分：官方确认为 9.2，而非泄露帖中所述的 10.0。知悉该漏洞及补丁计划的人员包括 WatchTowr 以及 Nextron Systems 的研究负责人 Florian Roth。
原本的新闻禁运期定于 10 月 20 日，补丁更新时间定为次日即 10 月 21 日。然而，Florian Roth 此前已在 X 平台发文指出：“既然消息已经传出，更多细节将于 10 月 20 日公布。”他同时强调，只有 PHP 8 系列版本会收到补丁。
零日漏洞确认
受此泄露事件影响，PHP 不得不提前发布安全建议。安全研究机构 WatchTowr 证实了上述信息，确认这两个漏洞分别被追踪为 CVE-2026-109618 和 CVE-2026-109619。
出于保护用户的考虑，具体的技术细节目前仍处于保密状态。但 WatchTowr 首席执行官 Benjamin Harris 向 BleepingComputer 透露，过去一小时内已有两个 PHP 远程代码执行漏洞细节泄露。这些漏洞此前处于禁运状态，原定于周四上午 11 点公开。
Harris 表示：“虽然我们无法分享具体技术信息，但鉴于问题的敏感性，我们可以确认这些漏洞确实存在。两者均为高危级别，据了解会影响 PHP 5、6、7 和 8 版本。”
研究人员还向媒体确认，他们已成功复现 CVE-2026-109618，证明该漏洞具备实际利用条件。目前的积极进展是，尚未有证据表明这些缺陷已被用作零日漏洞在野外进行主动攻击。
