涉及两个底层核心的远程代码执行（RCE）漏洞，CVSS v4.0 评分高达 9.2 分
由于消息最初来自泄露，且利用代码疑似流出，今晚补丁发布后，攻击者势必会在数十分钟内逆向补丁并展开全网自动化扫描。对于使用 PHP 的站点，今晚务必留出运维窗口。（或者直接先下线算了）
10 月 20 日，Hacker News 上有人爆料称发现了影响广泛的 PHP 核心 RCE 漏洞。随后安全机构 watchTowr 证实了漏洞的存在及保密协议，PHP 安全团队随即发布紧急公告，将补丁发布时间定在北京时间的 10 月 21 日 22:00（官方表示，若在此之前有利用扩散，还会进一步提前）。
- 漏洞编号与代号： CVE-2026-109618 与 CVE-2026-109619。
- 影响 PHP 5.4 及以上几乎所有版本。
- 但是“可爱”的 PHP 官方选择只修活跃分支：PHP 官方目前仅为处于生命周期内的分支提供补丁，即 PHP 8.2、8.3、8.4、8.5。
- PHP 5.x、7.x、8.0、8.1 等已 EOL（停止维护）的版本不会获得官方更新。而全球暴露在公网的 PHP 站点中，有近六成仍跑在这些老旧版本上，估计这玩意搞不好会变成一次全球性的问题。
- PS：不过也不排除存在夸大，毕竟Ngnix当年的几连漏洞评分也挺高，传的也挺热闹，实际上利用难度并不低。