湖北
2026年10月21日，PHP开发团队宣布将于当天14:00 UTC（北京时间22:00）发布紧急安全更新，修复CVE-2026-109618和CVE-2026-109619。两项漏洞CVSS v4.0评分均为9.2分（满分10分），属严重级别。
CERT-EU公告称，漏洞可能导致未经身份验证的远程代码执行（RCE），攻击者或可在受影响服务器执行任意代码，无需登录凭据。成功利用可能造成数据泄露、网站篡改、敏感系统未授权访问，严重时服务器被完全控制。因PHP官方尚未公开完整技术细节，具体攻击路径和利用条件仍需等待正式公告确认。
CERT-EU警告，PHP 5及后续版本均可能受影响，但该范围应视为风险预警，而非官方最终确认的受影响版本清单。建议组织尽快清点PHP应用和相关资产，做好补丁部署准备，并在更新发布后及时修复。对暂时无法修复者，建议考虑将受影响的互联网暴露型应用与公共网络隔离，直至部署有效修复措施；无法及时消除风险时，暂时停止对外服务可能比继续暴露更稳妥。
风险已不止于预警，Cloudflare首席技术官Dane Knecht表示，公司已观察到早期攻击迹象，并正调整Web应用防火墙（WAF）规则应对新攻击方式。但他强调，这些措施只是临时缓解，不能替代PHP官方更新；若攻击者绕过防护，漏洞服务器仍可能受攻击。
Patchstack称已收到多个托管服务合作伙伴关于活跃利用的报告。不过，澳大利亚网络安全中心（ACSC）当时表示尚未掌握相关活跃利用证据。现阶段更准确的说法是，已有机构报告早期攻击或疑似利用活动，但公开信息尚不足以证明攻击已大规模普遍发生。
对WordPress管理员而言，更新层级尤其重要。Wordfence提醒，更新WordPress核心、主题或插件不等于修复服务器底层PHP漏洞。PHP通常由托管商、服务器管理员或云平台维护，网站所有者应确认PHP版本并联系服务商核实更新部署。
自行管理服务器者应在官方修复版本发布后及时升级。对于已停止维护的旧版PHP，需确认是否有可用安全修复方案，不能假设所有历史版本都会获得官方补丁。若无法通过升级或供应商更新消除风险，应临时隔离相关服务，并制定迁移至受支持版本的计划。
当前首要任务是及时修复并核实防护状态，管理员应优先清点互联网暴露型PHP系统，确认版本和维护责任方，在官方修复版本公布后及时部署更新。补丁未到位且无法立即修复时，应根据业务风险考虑隔离服务，关注官方公告及托管服务商通知。
WAF等外围防护可作为临时补充，但不应视为底层漏洞已修复。对运行旧版PHP或依赖第三方托管环境的网站，尽早确认修复责任、可用补丁和应急处置方案尤为重要。面对可能造成远程代码执行的严重漏洞，及时更新、必要时隔离，并在修复后核实系统安全状态，是降低风险的关键。
总的来看，此次PHP严重漏洞再次提醒网站运营者，安全风险不仅存在于应用程序中，也可能潜藏在底层运行环境。管理员应及时核对PHP版本，关注官方公告并部署补丁；暂时无法修复的系统，应考虑隔离。防火墙只能缓解风险，不能替代安全更新，修复后还需核实补丁是否生效。
小编将在第一时间分享更多相关最新动态和爆料，敬请关注。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
