原始链接在： PHP 官方罕见提前预警：两项 9.2 分严重漏洞，今晚 10 点发布修复｜请加班 - 小众软件
全世界还在运行 PHP 的网站需要注意了，PHP 官方预警！
10 月 20 日，PHP 官方突然发布了一份安全预警：PHP 核心存在两个严重安全漏洞，CVSS v4.0 评分均达到 9.2 分（满分 10 分）。
PHP 在官网宣布，将于 2026 年 10 月 21 日 22:00（北京时间） 发布紧急安全更新，并呼吁所有 PHP 用户提前做好升级准备。
这次比较特别，PHP 官方甚至没有等到补丁发布，就提前一天通知所有用户准备升级。
据称可以远程执行代码
根据安全研究机构 watchTowr 以及多家安全媒体的报道，这两个漏洞可能是远程代码执行漏洞（RCE），编号分别为：
- CVE-2026-109618
- CVE-2026-109619
所谓远程代码执行，就是攻击者可能通过网络漏洞，让服务器执行恶意代码，严重时可能导致网站被控制、数据泄露。
目前流传的信息甚至称，PHP 5 以来的多个版本都可能受到影响。
不过需要注意，PHP 官方尚未确认漏洞编号、具体攻击方式及受影响版本。目前可以确定的是：确实存在两个严重漏洞，官方正在准备修复。
哪些 PHP 项目受影响
几乎所有的 php 都受影响，包括小众软件正在运行的 WordPress，以及其他一系列网站：
| 类型 | 著名 PHP 项目 | 主要用途 |
|---|---|---|
| 博客 / CMS | WordPress | 博客、新闻网站、企业官网 |
| CMS | Drupal | 大型网站、政府及企业网站 |
| CMS | Joomla! | 内容管理系统 |
| 电商 | Magento (Adobe Commerce) | 电商网站 |
| 电商 | PrestaShop | 开源网店 |
| 电商 | WooCommerce | WordPress 电商插件 |
| 论坛 | phpBB | 老牌开源论坛 |
| 论坛 | Flarum | 现代轻量论坛 |
| 论坛 | XenForo | 商业论坛程序 |
| 网盘 | Nextcloud | 自建网盘、文件同步与协作 |
| 网盘 | ownCloud | 文件管理与共享 |
| 管理工具 | phpMyAdmin | MySQL / MariaDB 数据库管理 |
| IT 管理 | GLPI | IT 资产与服务管理 |
| 在线教学 | Moodle | 在线课程、学校教学平台 |
| CRM | SuiteCRM | 客户关系管理 |
| 开发框架 | Laravel | PHP Web 开发框架 |
| 开发框架 | Symfony | 企业级 PHP 开发框架 |
青小蛙听小熊猫说，一些站点因为该漏洞已经提前关闭，等待更新，包括：Miraheze全站、Weird Gloop全站、WikiOasis全站、Wikimedia全站宣布维护，其中Miraheze全站停止访问、WikiOasis全站停止访问，Weird Gloop全站访问受限制（包括Minecraft Wiki）
还是第一次见到这样的漏洞…
原文：https://www.appinn.com/php-critical-rce-vulnerability-2026/
）
