PHP 提醒注意两个未修复的严重 0day 漏洞
Lawrence Abrams
Lawrence Abrams
代码卫士
2026年10月21日 14:44
北京
去阅读
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
PHP安全团队正在提醒管理员称，准备在明天安装紧急安全更新，修复两个严重漏洞，因为据称这些漏洞的信息在计划披露日期之前就已经泄露。
PHP 为许多网站和 Web 应用程序提供支持，包括内容管理系统、电子商务平台和自定义 Web 服务等。
漏洞的 CVE 编号和评分
PHP 在本周二发布公告但尚未披露这些漏洞的任何技术细节，包括受影响的是哪些PHP版本、如何利用这些漏洞，以及哪些版本将包含修复。PHP为这两个漏洞给出的CVSS v4评分为9.2。
而网络安全公司 watchTowr 的安全研究人员表示，这些被泄露的漏洞编号为CVE-2026-109618和CVE-2026-109619，是远程代码执行 (RCE) 漏洞，据信影响PHP 5、6、7和8版本，且CVSS评分为满分10分。另外，该公司表示已经成功复现其中一个漏洞CVE-2026-109618，但在补丁发布前不会发布这些细节。该公司还表示并未有证据表明这两个漏洞已遭在野利用。
而在此之前，Y Combinator 旗下的Hacker News论坛上有一篇现已被删除的帖子，其中一位名为“petecooper”的用户声称，两个严重的PHP远程代码执行漏洞将于10月22日披露。这篇帖子声称，这两个漏洞的CVSS评分均为10.0，并且影响可追溯至PHP 5的各个PHP版本。该帖子还将这些漏洞标识为CVE-2026-109618和CVE-2026-109619，与watchTowr后来分享的编号一致。
PHP开发团队宣布计划于10月21日周三14:00 UTC（美国东部时间上午10:00）发布安全更新，修复这两个漏洞。PHP安全团队还向 ANNOUNCE 邮件列表发送了通知，敦促管理员准备在安全更新一经发布后立即安装。
PHP安全团队警告称：“如果任一漏洞的详细信息被公开，或出现在野活跃利用的证据，我们保留提前发布的权利。”
PHP安全团队表示，当安全更新可用时，将发布完整的技术细节、受影响版本和修复版本。
代码卫士试用地址：https://sast.qianxin.com/
开源卫士试用地址：https://oss.qianxin.com/
推荐阅读
XSS2Shell：WordPress Core 漏洞利用预认证登录XSS实现 PHP RCE
黑客在Laravel 生态系统中隐藏恶意PHP包，发动供应链攻击
原文链接
https://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 \"赞”
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论