PHP超高危安全漏洞预警：修复版本将在今晚10点发布
内容提要
PHP安全团队将于2026年10月21日22时发布紧急更新，修复两个评分均为9.2的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），默认配置即可触发，细节暂未公布。修复仅覆盖PHP 8系列，5.6和7.x等旧版不再获更新。约59.4%的暴露主机仍使用旧版，漏洞公布后可能遭大规模攻击，建议用户及时升级，必要时提前停机。
延伸解读
旧版用户面临无补丁风险
文章明确指出，PHP安全团队仅会为PHP 8系列提供安全更新，PHP 5.6和7.x等旧版本将无法获得官方修复。这意味着仍在使用这些旧版本的用户，即使漏洞细节公布，也无法通过官方渠道打补丁，只能自行寻找缓解方案或升级到PHP 8。对于无法立即升级的环境，风险将长期存在。
默认配置即可触发，攻击门槛低
根据文章引述的网上流传消息，这两个漏洞在PHP默认安装配置下即可触发远程代码执行，无需特殊设置。这降低了攻击者的利用门槛，一旦漏洞细节公开，攻击可能迅速扩散。文章提醒，修复版本发布后核心漏洞可能很快被挖掘，进而引发大规模攻击，因此提前关注更新或考虑停机是合理的防范思路。
暴露主机中旧版占比高，影响面广
文章引用网络空间观测数据称，在150万个暴露的PHP主机中，约59.4%使用无法获取更新的旧版PHP。这一比例说明，大量暴露在互联网上的PHP服务可能无法通过官方更新修复漏洞。对于运维人员而言，需要尽快盘点自身资产中PHP的版本分布，优先处理暴露在公网且使用旧版的服务。
Q&A
PHP 这次紧急安全更新什么时候发布？
PHP 安全团队将于 2026 年 10 月 21 日 22:00 发布紧急安全更新。
这次 PHP 漏洞的严重程度如何？
两个漏洞的评分均为 9.2 分，属于超高危漏洞，涉及远程代码执行，且默认配置即可触发。
哪些 PHP 版本会得到修复？
PHP 团队仅会为 PHP 8 系列提供安全更新，PHP 5.6 和 7.x 等旧版本将无法获得更新。
为什么说漏洞公布后可能发生大规模攻击？
因为 PHP 使用率极高，且约 59.4% 的暴露主机仍在使用无法获取更新的旧版 PHP，漏洞细节公布后可能很快被黑客利用发起攻击。
目前官方公布了漏洞细节吗？
目前官方并未公布漏洞细节，新版本发布后才会公布受影响版本、修复版本和部分细节。
如果暂时无法升级 PHP，有什么临时建议？
建议关注今晚 10 点发布的版本更新，若暂时无法更新甚至可以考虑提前停机。
