PHP修复两项9.2分高危远程代码执行漏洞
发生了什么
据IT之家与InfoQ报道，PHP安全团队于2026年10月21日发布紧急更新，修复了CVE-2026-109618和CVE-2026-109619两个严重漏洞。该漏洞在CVSS v4.0体系中评分为9.2，被安全公司watchTowr确认为零日远程代码执行漏洞，非正式名称为“php2shell”。InfoQ指出，补丁已包含在PHP 8.5.12、8.4.27、8.3.36及8.2.35版本中。关于漏洞利用情况，亚马逊威胁情报部门在补丁发布前监测到相关攻击尝试，最早可追溯至10月17日。官方表示目前无完整缓解措施，建议用户立即升级。
报道与来源
2 篇发布方数量不等于独立核验数量。同稿的多个入口保留在对应报道中。
- InfoQ 中文来源报道
PHP 修复了两处已遭到攻击的严重远程代码执行漏洞
- IT之家来源报道
9.2 评分：PHP 拉响安全警报，今天将修复 2 个高危漏洞
来源关系与证据边界
按已记录的来源角色展示；连线仅表示原生身份流程确认的同稿入口，不表示独立佐证或跨报道引用。
- 来源报道1 个发布入口
- 来源报道1 个发布入口