两项严重漏洞可导致服务器遭远程代码执行 PHP官方紧急发布安全补丁
PHP开发团队于2026年10月21日正式发布紧急安全更新，修复两项严重安全漏洞。这两项漏洞分别编号为CVE-2026-109618和CVE-2026-109619，均被评定为严重级别，可能允许攻击者在无需登录的情况下远程执行代码。官方强烈建议所有PHP用户立即升级至修复版本，以避免服务器遭到攻击。
此次发布的修复版本包括PHP 8.5.12、8.4.27、8.3.36和8.2.35。官方指出，漏洞影响通过网络处理请求的PHP部署环境，包括PHP-FPM、Apache搭配mod_php、php-cgi、FrankenPHP以及LiteSpeed等。PHP团队特别强调，使用Apache mod_php的环境风险尤其值得关注，因为已有演示表明，攻击者能够在应用程序代码开始执行之前触发攻击。
第一项漏洞CVE-2026-109618与内存耗尽处理机制有关。当PHP遇到内存不足情况时，程序可能在内部请求数据尚未完全初始化的情况下中断处理流程，随后进行资源清理时，却将这些无效数据当作有效数据使用。这种异常状态可能导致内存损坏，并在特定条件下被进一步利用，最终实现远程代码执行。
第二项漏洞CVE-2026-109619则涉及已经释放的内存及过期的内部状态。某些属于当前请求的内部状态，在其对应内存被释放后仍可能残留。之后由同一工作进程处理的请求，可能在正常初始化重置这些状态之前使用已经失效的数据，从而造成安全问题。两项漏洞均可能使攻击者突破原本的程序执行边界。
两项漏洞的CVSS v4.0评分均为9.2分，属于严重级别。其危险性在于，攻击者可能不需要有效账户、密码或其他身份验证凭据，就能通过构造特定网络请求触发漏洞。如果攻击成功，攻击者可能进一步执行恶意命令、窃取数据、植入恶意程序，或者利用服务器权限继续扩大入侵范围。
PHP是互联网应用中最常见的服务器端编程语言之一，广泛用于动态网页生成、数据库交互以及后台业务处理。WordPress等内容管理系统也依赖PHP运行，因此此次漏洞并非只影响某一个网站平台，而是涉及底层运行环境。即使网站已经更新WordPress核心程序和插件，只要服务器上的PHP版本仍存在漏洞，网站就可能继续面临风险。WordPress官方也明确表示，这次问题不需要通过发布WordPress核心更新来解决，网站所有者应当检查并更新实际运行的PHP环境。
对于使用PHP 8.2及以上受支持分支的网站，管理员应尽快安装相应修复版本。仍在使用PHP 8.1及更早版本的用户则需要特别注意：这些版本已经不再获得PHP项目直接提供的安全更新。不过，部分Linux发行版、长期支持服务商或其他供应商可能提供回移补丁，相关用户应向自己的软件供应商确认是否已有修复方案。
安全机构此前已经警告，如果网站无法及时修复漏洞，应考虑暂时限制外部访问，必要时将系统下线。此次漏洞的公开也引发了多个国家和地区的紧急响应，部分欧洲政府机构曾在补丁发布前主动关闭网站，以降低潜在风险。路透社报道指出，荷兰和芬兰的一些政府机构采取了预防性措施，反映出这次安全事件对公共网络服务造成的实际压力。
PHP官方此次紧急发布补丁，意味着此前处于预警阶段的安全问题已经进入实际修复阶段。对于网站运营者而言，当前最重要的工作是确认服务器实际运行的PHP版本、核对托管服务商是否已经部署更新，并检查系统是否存在异常进程、未经授权的文件修改或可疑网络连接。
网站安全不仅取决于应用程序本身，也取决于底层运行环境是否及时维护。由于PHP被广泛部署在各类网站和服务器上，及时安装官方修复版本，是降低这两项严重漏洞风险的关键措施。
了解更多：
