PHP安全团队10月21日发布紧急更新修复两个9.2分漏洞
PHP安全团队称两个漏洞CVSS v4.0评分均为9.2，并保留在细节公开或出现实际利用迹象时提前发布更新的权利。
据BleepingComputer报道，PHP开发团队表示将于2026年10月21日（星期三）14:00 UTC发布安全更新，修复两个漏洞。PHP安全团队将这两个漏洞的CVSS v4.0评分均定为9.2。
PHP安全团队已向其ANNOUNCE邮件列表发出通知，敦促管理员在更新发布后尽快安装。该团队还表示，如果漏洞细节被公开或出现实际利用的证据，其保留提前发布更新的权利。
PHP方面尚未披露受影响的PHP版本，也未说明哪些发行版本将包含修复。PHP安全团队称，将在更新可用时公布完整技术细节、受影响版本和已修复的发行版本。
安全研究公司watchTowr向BleepingComputer表示，这两个漏洞的编号为CVE-2026-109618和CVE-2026-109619，据信影响PHP 5、6、7和8版本。watchTowr首席执行官Benjamin Harris称，这两个远程代码执行漏洞在上一小时内被泄露，原定发布时间为星期四上午11点（美国东部时间）。
watchTowr表示，其认为已复现CVE-2026-109618，但在补丁可用前不会公布技术信息，并称尚未观察到这些漏洞在野遭利用。watchTowr在X平台的一则帖文中称，有关PHP中处于禁发期的零日RCE漏洞的信息已经泄露。
用户petecooper在Hacker News发布的一则已被删除的帖子声称，这两个漏洞将于10月22日披露，CVSS评分为10.0。
PHP的广泛使用
PHP是一种服务端编程语言，为众多网站和Web应用提供支持，包括内容管理系统、电商平台和定制Web服务。
快速问答
PHP的安全更新什么时候发布？
PHP开发团队表示将于2026年10月21日（星期三）14:00 UTC发布更新，并保留在细节公开或出现实际利用迹象时提前发布的权利。
这两个漏洞的编号和影响版本是什么？
据watchTowr向BleepingComputer透露，漏洞编号为CVE-2026-109618和CVE-2026-109619，据信影响PHP 5、6、7和8版本。PHP方面尚未披露受影响版本。
这两个漏洞的严重程度如何？
PHP安全团队将两个漏洞的CVSS v4.0评分均定为9.2。watchTowr称其为远程代码执行漏洞，并表示尚未观察到在野利用。