PHP披露两个严重级远程代码执行漏洞，安全更新将于今晚发布

PANews 10月21日消息，据慢雾报道，PHP于10月20日发布安全公告，确认存在两个可能导致远程代码执行（RCE）的严重漏洞，编号为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2。官方补丁尚未发布。PHP安全团队预计10月21日22:00（UTC+8）发布安全更新；如果漏洞细节提前公开，或发现被实际利用的迹象，将提前发布。漏洞的技术细节和受影响版本尚未正式确认，第三方报告称PHP 5及之后的版本可能受影响。慢雾建议排查PHP版本，优先处理面向公网的服务；暂时无法修补的，应限制或隔离对外暴露的PHP服务。 据了解，PHP广泛用于网站和服务器后端，加密交易平台、项目官网、支付网关等基于PHP搭建的Web服务可能受影响，攻击者或可借漏洞远程控制服务器。慢雾建议排查PHP版本，优先修补面向公网的服务。