🚨【紧急安全预警】PHP 核心曝出两项严重 RCE 漏洞！官方补丁今晚 22:00 发布

涉及 PHP 5.x、7.x、8.x 等多个版本，网站及服务器管理员请高度重视！

2026 年 10 月 20 日，PHP 官方发布紧急安全公告，确认即将修复两项严重安全漏洞，两项漏洞的 CVSS v4.0 评分均达到 9.2 分，属于严重级别。

据安全研究机构 watchTowr 披露，这两项漏洞属于 PHP 核心远程代码执行（RCE）漏洞，相关编号为：

• 🔴 CVE-2026-109618
• 🔴 CVE-2026-109619

PHP 官方计划于北京时间 2026 年 10 月 21 日（星期三）22:00 发布安全修复版本。 如发现漏洞正在遭受实际利用，发布时间可能进一步提前。

⚠️ 一、这次漏洞到底有多严重？

与常见的网站程序漏洞不同，本次安全风险直接涉及 PHP 运行环境本身。

PHP 是大量网站、管理系统、电商平台及企业业务系统依赖的服务器端脚本语言。

一旦攻击者成功利用远程代码执行漏洞，可能在受影响服务器上执行恶意代码，进一步导致：

• 网站文件被恶意修改或植入后门。
• 数据库账号、配置文件等敏感信息泄露。
• 服务器被植入恶意程序，甚至获取 Shell 控制权限。
• 网站业务异常、服务中断或数据遭到破坏。

需要注意，攻击成功后的实际影响取决于漏洞利用条件、PHP 进程权限及服务器安全配置，并不意味着所有服务器都会被直接完全控制。

🔍 二、哪些 PHP 版本可能受到影响？

根据 Sansec、watchTowr 等安全机构目前披露的信息，漏洞可能影响 PHP 5.4 及之后的多个版本，包括仍在运行的 PHP 5.6、7.x 和 8.x。

但截至本次预警发布时，PHP 官方尚未公布完整受影响版本范围及具体漏洞技术细节，最终应以官方安全公告为准。

目前 PHP 官方仍提供安全支持的版本分支为：

• ✅ PHP 8.2
• ✅ PHP 8.3
• ✅ PHP 8.4
• ✅ PHP 8.5

而 PHP 8.1 及更早版本已经结束官方安全支持，通常不会获得 PHP 官方提供的常规修复版本。

这意味着仍依赖 PHP 5.6、7.2、7.4 等老旧运行环境的网站，需要特别关注本次安全风险。

🛡️ 三、网站管理员现在应该做什么？

1. 立即检查 PHP 运行环境

排查服务器、宝塔面板、虚拟主机及各类业务系统实际使用的 PHP 版本。

注意，命令行查询到的 PHP 版本，不一定与网站实际使用的 PHP-FPM 版本一致。

2. 做好升级准备

建议提前备份网站文件、数据库及 PHP 配置，检查程序与新版本的兼容性。

补丁发布后，应及时安装对应的安全修复版本，而不是简单认为切换到 PHP 8.x 就已经安全。

3. 提前加强访问防护

可以根据实际业务采取以下措施：

• 限制不必要的文件上传功能。
• 关闭未使用的 PHP 运行特性。
• 通过 CDN、WAF 加强恶意请求过滤和访问控制。
• 限制服务器敏感端口及后台管理接口的访问来源。
• 加强 PHP 运行权限隔离，检查异常文件与请求日志。

需要强调，以上措施主要用于降低攻击面，不能替代官方补丁，也不能保证完全阻断本次 RCE 漏洞。

4. 关注临时 PHP 配置加固

对于不依赖 PHP 会话上传进度功能的网站，可以评估关闭：

session.upload_progress.enabled=0

同时可以评估启用：

session.use_strict_mode=1

其中，关闭上传进度功能可以减少相关功能的暴露面，严格会话模式则有助于防范会话固定风险。

但目前不能认定这两个参数能够修复或有效阻断本次漏洞。修改配置前应评估业务兼容性，修改后重启对应 PHP 服务并验证生效情况。

🚨 四、无法升级 PHP 的网站怎么办？

目前仍有不少企业系统、支付接口、老旧商城和定制程序依赖 PHP 5.6、7.2、7.4 等运行环境。

由于历史代码、扩展组件及数据库驱动的兼容性问题，部分网站无法直接升级 PHP 版本。

对于暂时无法升级的用户，可以根据具体业务环境采取针对性的风险缓解措施。

例如，限制高风险请求入口、加强源站访问控制、调整 PHP 运行配置、隔离高风险业务，以及评估第三方安全补丁或旧版本扩展安全维护方案。

需要明确的是，具体防护方式必须结合官方后续公布的漏洞成因判断，不存在一套适用于所有 PHP 版本的万能修复方案。

⏰ 五、为什么这次需要提前准备？

安全机构 Sansec 预测，相关补