关键信息
10月21日，PHP开发团队发布了紧急安全更新，以解决两个关键漏洞：CVE-2026-109618和CVE-2026-109619。这两个漏洞的CVSS v4.0严重性评分均为9.2，可能允许在受影响的服务器上进行未经身份验证的远程代码执行。这些问题涉及内存损坏以及内存释放后的残留内部状态。
这些漏洞引发了广泛的预防措施，欧洲、日本和美国的政府及私营机构纷纷将网站下线。在日本，包括世嘉（SEGA）、卡普空（CAPCOM）、万代南梦宫和Cygames在内的主要游戏公司启动了紧急维护。其他受影响的平台还包括Niconico、4chan以及各类社区网站。
安全公司Sansec警告称，补丁发布后15分钟内可能会发生大规模攻击。Cloudflare首席技术官Dane Knecht证实观察到了初步的恶意活动，并指出虽然防火墙调整可以提供临时保护，但不能取代安装官方PHP更新的必要性。
PHP已发布版本8.5.12、8.4.27、8.3.36和8.2.35以降低这些风险。专家强调，由于PHP为约75%使用已知服务器端语言的网站（包括使用WordPress的网站）提供支持，因此潜在影响巨大。敦促管理员立即更新，尽管使用共享托管的用户可能需要依赖其服务提供商来应用必要的环境补丁。
