PHP 官方罕见提前预警：两项 9.2 分严重漏洞，今晚 10 点发布修复｜请加班

全世界还在运行 PHP 的网站需要注意了，PHP 官方预警！

10 月 20 日，PHP 官方突然发布了一份安全预警：PHP 核心存在两个严重安全漏洞，CVSS v4.0 评分均达到 9.2 分（满分 10 分）。

PHP 在官网宣布，将于 2026 年 10 月 21 日 22:00（北京时间） 发布紧急安全更新，并呼吁所有 PHP 用户提前做好升级准备。

这次比较特别，PHP 官方甚至没有等到补丁发布，就提前一天通知所有用户准备升级。

⚠ PHP 核心安全漏洞预警

9.2 / 10 CRITICAL · 严重

CVSS v4.0 · 两项严重安全漏洞
官方计划 10 月 21 日 22:00（北京时间）发布安全更新

PHP 官方罕见提前预警：两项 9.2 分严重漏洞，今晚 10 点发布修复｜请加班 2

据称可以远程执行代码

根据安全研究机构 watchTowr 以及多家安全媒体的报道，这两个漏洞可能是远程代码执行漏洞（RCE），编号分别为：

CVE-2026-109618
CVE-2026-109619

所谓远程代码执行，就是攻击者可能通过网络漏洞，让服务器执行恶意代码，严重时可能导致网站被控制、数据泄露。

目前流传的信息甚至称，PHP 5 以来的多个版本都可能受到影响。

不过需要注意，PHP 官方尚未确认漏洞编号、具体攻击方式及受影响版本。目前可以确定的是：确实存在两个严重漏洞，官方正在准备修复。

哪些 PHP 项目受影响

几乎所有的 php 都受影响，包括小众软件正在运行的 WordPress，以及其他一系列网站：

类型	著名 PHP 项目	主要用途
博客 / CMS	WordPress	博客、新闻网站、企业官网
CMS	Drupal	大型网站、政府及企业网站
CMS	Joomla!	内容管理系统
电商	Magento (Adobe Commerce)	电商网站
电商	PrestaShop	开源网店
电商	WooCommerce	WordPress 电商插件
论坛	phpBB	老牌开源论坛
论坛	Flarum	现代轻量论坛
论坛	XenForo	商业论坛程序
网盘	Nextcloud	自建网盘、文件同步与协作
网盘	ownCloud	文件管理与共享
管理工具	phpMyAdmin	MySQL / MariaDB 数据库管理
IT 管理	GLPI	IT 资产与服务管理
在线教学	Moodle	在线课程、学校教学平台
CRM	SuiteCRM	客户关系管理
开发框架	Laravel	PHP Web 开发框架
开发框架	Symfony	企业级 PHP 开发框架

青小蛙听小熊猫说，一些站点因为该漏洞已经提前关闭，等待更新，包括：Miraheze全站、Weird Gloop全站、WikiOasis全站、Wikimedia全站宣布维护，其中Miraheze全站停止访问、WikiOasis全站停止访问，Weird Gloop全站访问受限制（包括Minecraft Wiki）

还是第一次见到这样的漏洞…

原文：https://www.appinn.com/php-critical-rce-vulnerability-2026/

据称可以远程执行代码

哪些 PHP 项目受影响

分享

相关