PHP提醒注意两个未修复的严重0day漏洞

PHP安全团队正在提醒管理员称，准备在明天安装紧急安全更新，修复两个严重漏洞，因为据称这些漏洞的信息在计划披露日期之前就已经泄露。

PHP 为许多网站和 Web 应用程序提供支持，包括内容管理系统、电子商务平台和自定义 Web 服务等。

漏洞的 CVE 编号和评分

PHP 在本周二发布公告但尚未披露这些漏洞的任何技术细节，包括受影响的是哪些PHP版本、如何利用这些漏洞，以及哪些版本将包含修复。PHP为这两个漏洞给出的CVSS v4评分为9.2。

而网络安全公司 watchTowr 的安全研究人员表示，这些被泄露的漏洞编号为CVE-2026-109618和CVE-2026-109619，是远程代码执行 (RCE) 漏洞，据信影响PHP 5、6、7和8版本，且CVSS评分为满分10分。另外，该公司表示已经成功复现其中一个漏洞CVE-2026-109618，但在补丁发布前不会发布这些细节。该公司还表示并未有证据表明这两个漏洞已遭在野利用。

而在此之前，Y Combinator 旗下的Hacker News论坛上有一篇现已被删除的帖子，其中一位名为“petecooper”的用户声称，两个严重的PHP远程代码执行漏洞将于10月22日披露。这篇帖子声称，这两个漏洞的CVSS评分均为10.0，并且影响可追溯至PHP 5的各个PHP版本。该帖子还将这些漏洞标识为CVE-2026-109618和CVE-2026-109619，与watchTowr后来分享的编号一致。

PHP开发团队宣布计划于10月21日周三14:00 UTC（美国东部时间上午10:00）发布安全更新，修复这两个漏洞。PHP安全团队还向 ANNOUNCE 邮件列表发送了通知，敦促管理员准备在安全更新一经发布后立即安装。

PHP安全团队警告称：“如果任一漏洞的详细信息被公开，或出现在野活跃利用的证据，我们保留提前发布的权利。”

PHP安全团队表示，当安全更新可用时，将发布完整的技术细节、受影响版本和修复版本。