PHP 修复两个严重漏洞，评分 9.2，可导致远程代码执行

PHP 于 2026 年 10 月 21 日发布安全更新，此前发现两个影响面向互联网的安装环境、CVSS 4.0 评分为 9.2 的 CVE-2026 漏洞。PHP 安全团队敦促用户立即安装补丁。这些漏洞的编号为 CVE-2026-109618 和 CVE-2026-109619。第一个漏洞涉及内存耗尽处理过程中的数据损坏：PHP 清理请求时可能访问无效数据，攻击者因此可能远程执行代码。

CVE-2026-109619 与过时的全局状态有关，该状态可能指向已释放的请求内存。后续请求可能在程序完全初始化状态之前访问这块内存，同样带来远程代码执行风险。公告称，受影响的环境包括 PHP-FPM、搭配 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。

修复版本为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 项目已不再为 PHP 8.1 及更早版本提供更新，不过部分发行版和长期支持服务商可能会提供回移补丁。有关漏洞也因早期攻击报告而受到关注。

Cloudflare 首席技术官 Dane Knecht 表示，随着新的攻击途径出现，公司正在更新临时缓解措施，但他提醒，这些措施不能替代安装 PHP 更新。

已有早期攻击报告，防火墙措施也被称为临时手段，那么网站所有者应该多快安装 PHP 补丁？