根据2026年10月21日PHP官方及多国网络安全机构发布的紧急安全公告，近期披露的重大漏洞是两个严重的远程代码执行（RCE）漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0评分均为 9.2（严重级别）。
漏洞详情与危害
这两个漏洞均允许未经身份验证的远程攻击者在受影响的服务器上执行任意代码。
- CVE-2026-109618：涉及内存耗尽（OOM）异常处理不当，可能导致内部请求数据未正确初始化并在后续被错误使用。
- CVE-2026-109619：涉及释放后使用（Use After Free）问题，请求间的内部状态清理不当，可能导致后续请求错误使用已释放的内存。
潜在危害：攻击者成功利用后，可完全控制受影响的Web服务器，进而导致网站被篡改、敏感数据窃取、植入恶意软件或作为跳板攻击内网等严重后果。不过，截至公告发布时，尚未观测到大规模在野利用的证据。
影响的版本
根据韩国KISA及斯洛文尼亚SI-CERT等机构确认，具体受影响及修复版本如下：
| 分支 | 受影响版本（低于此版本） | 安全修复版本 |
|---|---|---|
| PHP 8.5 | 8.5.12 | 8.5.12 及以上 |
| PHP 8.4 | 8.4.27 | 8.4.27 及以上 |
| PHP 8.3 | 8.3.36 | 8.3.36 及以上 |
| PHP 8.2 | 8.2.35 | 8.2.35 及以上 |
注意：PHP 8.1及更早版本已停止官方安全支持，不会收到官方修复，需尽快升级到受支持的分支。部分早期报告曾提及PHP 5也可能受影响，但官方修复仅覆盖上述活跃分支。
修复与缓解建议
1、立即升级（首选）：这是最彻底的修复方式。请根据你使用的PHP版本，立即升级到上表列出的对应安全版本。如果你使用的是宝塔面板等集成环境，部分面板商已同步打包了包含旧版本（如7.4、8.0、8.1）的修复补丁，可在面板软件商店中检查更新。
2、临时缓解（若无法立即升级）：
隔离暴露面：在补丁安装前，尽可能将PHP应用从公网直接访问中隔离，或通过WAF等设备加强防护。
关注配置：有安全机构提及可考虑关闭 session.upload_progress.enabled，但斯洛文尼亚SI-CERT指出该措施并未被证实能有效阻止此漏洞利用。
风险提示：由于漏洞细节已提前泄露，安全机构预计补丁发布后很快会出现利用代码，因此应尽可能缩短修复窗口期。
