两个CVSS评分为9.2的PHP高危远程代码执行漏洞，Web服务器面临风险

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年10月21日 13:04
北京

去阅读

PHP安全团队宣布即将发布版本更新，修复两个高危漏洞，两个漏洞的CVSS v4.0评分均为9.2。

这份警示公告于2026年10月20日发布，提醒运维管理人员做好准备，尽快完成升级。此外，watchTowr安全机构披露了两处潜在的远程代码执行（RCE）漏洞。不过PHP官方尚未确认漏洞编号与技术细节。

官方补丁计划于2026年10月21日星期三14:00（世界协调时，即印度标准时间19:30）发布。PHP维护团队表示，如果漏洞细节遭到泄露，或是出现实际攻击利用的迹象，补丁会提前放出。

本次安全更新将公布受影响版本、修复后的版本，以及漏洞完整详情。

两处PHP高危远程代码执行漏洞

watchTowr将这两个漏洞标记为 CVE‑2026‑109618 和 CVE‑2026‑109619。该机构的常见问题文档提到，这两个远程代码执行漏洞可能让攻击者在受影响的PHP服务器上执行任意代码。

但该机构着重说明，以上信息来自未核实的报告，务必区分初步传闻信息和厂商正式公告。

有消息称漏洞影响范围覆盖PHP5及之后所有版本，但PHP维护团队尚未证实该说法。目前尚未公开受影响组件、危险函数、攻击入口、是否需要身份验证、特殊配置前提等信息。

因此，管理人员无法判断自身业务部署模式、应用功能是否会让系统暴露于该漏洞风险之下。

PHP官方公告里，也没有把这两个9.2分的漏洞和上述CVE编号绑定。虽然官方确实要修复两个PHP漏洞，但现阶段还不能断定这两个高分漏洞就是CVE‑2026‑109618、CVE‑2026‑109619。

watchTowr的漏洞表格列出了这两个CVE编号，但受限于补丁尚未发布，没有给出漏洞评分。

双方披露的时间线也存在出入。watchTowr的FAQ引用社交网络流传消息，传闻漏洞会在中欧夏令时10月22日18点公布。

而PHP官方明确公布的时间是世界协调时10月21日14点。安全团队处置风险时，应当以厂商官方时间为准。

截至10月21日，watchTowr暂未观测到野外真实攻击利用，但这不代表攻击不会发生。

PHP官方提到一旦出现攻击行为就会提前发布补丁，这就要求各单位紧盯官方动态，不要默认发布时间不会变动。

各企业应当梳理生产环境中所有PHP部署，找到对应应用负责人，在补丁发布前准备好升级流程。

watchTowr建议各团队持续关注PHP官方安全渠道，补丁正式发布后立刻安装修复版本。目前没有官方确认的临时缓解方案、受影响版本清单和漏洞触发方式，不要依靠猜测修改配置来防御该漏洞。