PHP开发者圈【紧急预警】PHP 核心曝两个严重 RCE 漏洞

PHP开发者圈【紧急预警】PHP 核心曝两个严重 RCE 漏洞，补丁北京时间 10 月 21 日（周三）22:00 发布

编号：CVE-2026-109618、CVE-2026-109619

安全公司 watchTowr 已确认两个都是远程代码执行（RCE），也就是可以拿 shell。

漏洞在 PHP 本身，不在某个面板或框架里。面板代码写得再干净也挡不住。

Sansec 等安全公司称 PHP 5.4 及以后的版本都受影响。具体范围以官方公告为准。

只有 8.2、8.3、8.4、8.5 会收到官方补丁。8.1 及以下（包括大量还在跑的 5.6 和 7.x）官方不会修。

安全公司预计补丁发布后 15 分钟内就会出现大规模扫描和攻击。

截止当前，PHP8.2～PHP8.5均已收到补丁更新，请使用这些版本的前去更新，使用8.1及以下的请自行关注PHP第三方补丁更新