PHP 官方发布紧急安全公告，敦促用户立即升级修复两项 RCE 漏洞

Odaily星球日报讯，PHP 官方发布安全公告，针对此前披露的两项严重远程代码执行漏洞，分别为 CVE-2026-109618 和 CVE-2026-109619，并强烈建议所有用户立即升级。

公告称，攻击者可能在未经身份验证的情况下利用相关漏洞执行恶意代码。受影响范围包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的 PHP 环境，其中 Apache mod_php 的风险尤为突出，攻击可在应用程序代码运行前触发。

官方已发布修复版本

PHP 官方已提供以下修复版本：

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

仍在使用 PHP 8.1 及更早版本的用户，应联系发行版或长期支持（LTS）供应商确认补丁情况，或升级至受支持版本。

官方同时强调，临时缓解措施无法完全消除风险，立即安装安全更新才是彻底解决漏洞的方式。