IT 之家 10 月 21 日消息，PHP 安全团队昨日（10 月 20 日）发布公告，宣布将于协调世界时 10 月 21 日 14 点（北京时间 21 日 22 点）发布重磅安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个严重漏洞。

根据官方公告，上述两个漏洞在 CVSS v4.0 体系中均评为 9.2 分，属于 " 严重 " 级别；安全公司 watchTowr 则确认，这两个漏洞是 PHP 中的零日远程代码执行（RCE）漏洞。IT 之家附上相关截图如下：

有网友于 10 月 20 日在 Hacker News 发帖称，爆料称两个影响 PHP 5 及以上版本的 RCE 漏洞即将披露，相关截图随后在 X 和 Mastodon 上流传，watchTowr 随后确认漏洞真实存在，但表示暂无法披露更多技术细节。

PHP 官方原计划于 10 月 22 日解除信息封锁，如今将修复版本提前至 10 月 21 日 14:00 UTC 发布。官方表示，若漏洞细节进一步公开或出现实际利用迹象，发布时间还可能继续提前。

目前尚无公开证据显示漏洞已被大规模利用，也未发现官方可用的临时缓解方案。由于 PHP 是 WordPress、Drupal、Magento 及大量共享主机服务的底层技术，网站管理员、云服务商和企业运维团队应尽快确认服务器 PHP 版本，并在补丁发布后立即升级。