PHP开发团队于2026年10月21日正式发布紧急安全更新，修复了两项评定为严重级别且编号分别为CVE-2026-109618和CVE-2026-109619的严重安全漏洞。两项漏洞的CVSS v4.0评分均为9.2分，允许攻击者在无需身份验证的情况下通过构造特定网络请求触发内存损坏，进而执行恶意命令、窃取数据或扩大入侵范围。由于PHP广泛用于动态网页生成与数据库交互，包括WordPress等内容管理系统在内的底层环境均受波及。针对此事，WordPress官方明确指出该问题无法通过应用层更新解决，网站所有者必须直接更新服务器实际运行的PHP环境。
在技术成因方面，第一项漏洞CVE-2026-109618源于内存耗尽处理机制的缺陷，当PHP遇到内存不足情况时可能在数据未完全初始化的情况下中断流程，并在资源清理时误将无效数据当成有效数据使用引发内存损坏。第二项漏洞CVE-2026-109619则涉及工作进程中的过期的内部状态与内存释放问题，后续请求在重置前使用失效数据从而造成安全隐患。本次漏洞影响包括PHP-FPM、Apache搭配mod_php、php-cgi、FrankenPHP以及LiteSpeed等通过网络处理请求的部署环境，其中Apache mod_php环境因可在应用程序代码执行前触发攻击而风险尤甚。
目前PHP团队已紧急发布了PHP 8.5.12、8.4.27、8.3.36和8.2.35等修复版本，并强烈建议运营者立即升级。由于本次事件对公共网络服务造成了实际压力，荷兰与芬兰等部分欧洲政府机构在补丁发布前甚至采取了主动关闭网站的预防性措施。对于仍在使用PHP 8.1及更早停售支持分支的用户，需向软件供应商确认是否有回溯补丁，或在无法及时修复时暂时限制外部访问以降低风险。
PHP官方档案公告：https://www.php.net/archive/2026.php#2026-10-21-5
PHP官方下载页面：https://www.php.net/downloads.php