PHP 最新远程代码执行漏洞预警CVE-2026-109618、CVE-2026-109619

youki
youki

C4安全

2026年10月21日 10:47
江苏

去阅读

PHP RCE漏洞

PHP 团队将于 2026 年 10 月 21 日 14:00（UTC，北京时间今晚 22:00）发布安全更新，修复两个 CVSS v4.0 评分 9.2 的严重漏洞。

泄露信息将它们与 CVE-2026-109618 和 CVE-2026-109619 关联，二者被描述为 PHP 核心中的远程代码执行漏洞。

补丁发布前，一段名为 PHP2Shell 的演示视频已在 X 平台流出，视频中对 WordPress、Magento、Drupal 等 9 款主流应用实现了命令执行回显（www-data 权限）。管理员应立即完成 PHP 资产盘点，在更新发布的第一时间打补丁。

漏洞影响版本

PHP >= 5.4.0 RCE，演示环境为 Ubuntu 26.04 + PHP 8.5.4

漏洞CVE编号

CVE-2026-109618、CVE-2026-109619

参考链接

PHP官方安全公告：

https://www.php.net/archive/2026.php#2026-10-20-1

新闻链接：

https://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/