PHP 警告管理员存在两个严重漏洞，明日发布紧急补丁

PHP 安全团队警告管理员，为明天的紧急安全更新做好准备，以修复两个严重漏洞，据报道，有关这些漏洞的信息在预定披露之前已经泄露。

PHP 支撑着众多网站和 Web 应用，包括内容管理系统、电商平台和自定义 Web 服务。

PHP 开发团队在周二发布的公告中宣布，计划于 10 月 21 日周三 14:00 UTC（东部时间上午 10:00）发布安全更新，修复两个漏洞，每个漏洞在 CVSS v4.0 下均被评为 9.2 分。

视频播放器当前正在播放广告。您可以在 5 秒后用鼠标或键盘跳过广告

PHP 安全团队还向其 ANNOUNCE 邮件列表发送了通知，敦促管理员在安全更新发布后尽快安装。

"如果任一漏洞的细节被公开，或出现被在野利用的证据，我们保留提前发布的权利，"PHP 安全团队警告称。

开发人员尚未披露任何技术细节，包括哪些 PHP 版本受影响、如何被利用，以及哪些版本将包含修复。

不过，watchTowr 的安全研究人员告诉 BleepingComputer，这两个被追踪为 CVE-2026-109618 和 CVE-2026-109619 的漏洞是远程代码执行（RCE）漏洞，据信影响 PHP 5、6、7 和 8 版本。

"就在一小时前，PHP 的两个远程代码执行漏洞被泄露。这些漏洞此前处于保密协议之下，原定于周四东部时间上午 11 点发布，"watchTowr CEO Benjamin Harris 告诉 BleepingComputer。

"虽然出于显而易见的原因，鉴于其敏感性，我们目前无法分享技术信息，但我们可以确认这些漏洞确实存在。两者均为 CVSS 10 分，据信影响 PHP 5、6、7 和 8 版本。"

watchTowr 还表示，其相信已成功复现 CVE-2026-109618，但在安全补丁可用之前不会发布技术信息。

研究人员澄清，尽管信息据报道在计划披露之前泄露，但他们尚未观察到这些漏洞被在野利用。

watchTowr 在 X 上发帖警告称，有关这些漏洞的信息在原定披露日期之前已经泄露。

"我们本来都应该等到周四东部时间上午 11 点。有关 PHP 零日保密 RCE 漏洞的信息已经泄露。我们可以确认它们是真实的，"研究人员表示。

这一警告之前，Y Combinator 的 Hacker News 论坛上出现了一篇现已被删除的帖子，一位名为"petecooper"的用户声称，两个 PHP 严重远程代码执行漏洞将于 10 月 22 日被披露。

BleepingComputer 看到的该帖子声称，两个漏洞的 CVSS 评分均为 10.0，影响可追溯至 PHP 5 的版本。

帖子还将这些漏洞标识为 CVE-2026-109618 和 CVE-2026-109619，与 watchTowr 后来分享的编号一致。

然而，watchTowr 的声明和 Hacker News 帖子与 PHP 的官方公告有所不同。两者都将漏洞描述为 CVSS 10.0，而 PHP 安全团队为每个漏洞评定的 CVSS v4.0 分数为 9.2。

此外，watchTowr 引用了原定于周四的披露，而 PHP 已正式将安全发布安排在明天上午。

PHP 安全团队表示，将在安全更新发布时公布完整的技术细节、受影响版本和修复版本。