在花🎗️科技圈

PHP 核心曝高危 RCE 漏洞，官方官方定于 10 月 21 日 22:00（UTC+8）发布安全更新。 PHP 官方团队宣布发布补丁，修复影响其核心解释器的两处高危远程代码执行漏洞（CVE-2026-109618 与 CVE-2026-109619，CVSS 9.2）。影响范围涵盖自 PHP 5.4 起的所有历史与现代版本，包括 PHP 5.x、7.x、8.0 至 8.5 等分支，且攻击在业务框架代码执行前即可触发。 官方仅为受支持分支（PHP 8.2、8.3、8.4、8.5）提供修复更新；停更（…

PHP紧急修复两项严重漏洞，官方敦促用户立即升级

现在，此时此刻 PHP 团队发布安全更新，修复两项可能让攻击者无需登录即可远程执行代码的严重漏洞。官方敦促用户立即安装PHP 8.5.12、8.4.27、8.3.36或8.2.35。两项漏洞的CVSS 4.0评分均为9.2 分。

风险涉及所有处理网页请求的PHP部署，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。其中，mod_php风险最高：已有验证表明，攻击可在网站业务代码运行前触发。不同部署方式的具体利用条件有所区别。

漏洞分别为CVE-2026-109618和CVE-2026-109619。前者源于内存不足时的异常处理，可能让未完成初始化的数据进入清理流程；后者源于内存释放后，相关内部状态未被清除，后续请求可能继续使用失效状态。攻击者可能借此以网站工作进程的权限执行代码。

官方强调，调整配置只能阻断部分攻击路径，安装完整补丁才是根本解决办法。Linux用户应核查发行版或长期支持供应商的更新包。PHP 8.1及更早版本已停止官方常规维护；鉴于漏洞严重性，团队此次额外提供7.4、8.0和8.1的最小源码修复补丁，供自行编译等场景使用。

PHP

🌸 科技圈· 茶馆 · 投稿