PHP 官方于 10 月 21 日发布安全公告，修补两项可让攻击者在无需登录的情况下远程执行代码的重大漏洞，并呼吁所有 PHP 用户立即更新。
日本首相高市早苗同日晚间在 X 发文，标题写为「紧急请求」，提醒网站运营方确认自身服务是否使用 PHP，并在当晚补丁发布后尽快套用。她还表示，如果来不及修补，暂时停止网站也是降低风险的有效做法之一。
高市早苗写道：「请大家今晚务必处理这项紧急请求。针对许多网站使用的 PHP，PHP 安全团队已就两项重大漏洞发出警示。」
两项漏洞均可在免登录情况下远程执行代码
根据 PHP 官方公告，这次发布的修补版本为 PHP 8.5.12、8.4.27、8.3.36 与 8.2.35。
第一项漏洞编号为 CVE-2026-109618，问题出在内存不足时的处理流程。PHP 可能在请求数据只完成部分初始化时被中断，后续清理阶段又把无效数据当成有效数据处理。
第二项漏洞编号为 CVE-2026-109619，涉及请求使用的内部状态在内存释放后仍然残留。同一个工作进程处理下一个请求时，可能继续使用这些已经过期的状态。
PHP 官方表示，各 Linux 发行版与长期支持服务提供方已事先取得修补内容，用户可以向供应商确认更新包。
PHP 8.1 以前版本不再官方维护，但仍提供源码级修补
PHP 8.1 以前的版本已不再由官方持续更新。不过考虑到这次漏洞的严重性，PHP 安全团队仍为 7.4、8.0 与 8.1 提供源码层级的修补，供自行编译或没有长期支持厂商的用户使用。
官方称配置调整只能降低部分风险
对于暂时无法立即更新的用户，PHP 官方列出几项设置调整建议。针对第一项漏洞，可将 memory_limit 设为不限制，并调低 post_max_size；针对第二项漏洞，则可关闭 session.upload_progress.enabled，并重启所有工作进程。
不过官方强调，这些措施只能减少特定攻击路径的暴露面，不能让系统变得安全，「更新是唯一安全的选择」。
官方还提醒，依赖志愿者维护套件库 rpms.remirepo.net 的用户，当天不会收到更新，建议改用发行版套件，或自行从源码编译。
高市早苗称当晚公开修补信息，日本 NCO 同步发布提醒
高市早苗在日本时间 21 日晚间 9 点 55 分发文称，修补预计将在日本时间当晚 11 点公开，折合台湾时间为晚间 10 点。她也请业者参考日本国家网络统括室（NCO）注意与警戒信息账号发布的相关公告。
根据网络技术调查网站 W3Techs 10 月统计，在可识别服务器端程序语言的网站中，69.3% 使用 PHP，其中 65.2% 使用 PHP 8 版本。包括 WordPress 在内的常见网站系统也以 PHP 编写，网站管理者可先确认主机上的 PHP 版本，再依供应商或官方指引完成更新。