PHP是一种全球使用最广泛的服务器端编程语言，其两个严重安全漏洞被发现，网络安全部门因此发出紧急警告，全球无数网站的安全问题引发担忧。
据路透社报道，PHP开发团队已宣布针对两个漏洞发布紧急补丁，漏洞编号分别为CVE-2026-109618和CVE-2026-109619，两者的CVSS v4.0严重性评级均为9.2分（满分10分）。补丁定于今日10月21日14：00（UTC）发布。
考虑到PHP支撑着互联网的很大一部分，包括使用WordPress、Drupal、Joomla和Magento等流行平台构建的网站，以及无数Web应用、托管平台和管理控制面板，其潜在影响是巨大的。
包括WordPress、Drupal、Joomla和Magento在内的流行内容管理系统和电商平台严重依赖PHP。因此，新披露的严重漏洞可能使无数网站面临严重安全风险，及时更新底层PHP安装至关重要。
欧盟网络安全官员警告：存在漏洞的网站可能需要下线
欧盟计算机应急响应小组（CERT-EU）发布了紧急安全公告，警告这些漏洞可能使未经身份验证的远程代码执行（RCE）成为可能，允许恶意行为者在无需登录凭证的情况下在受影响的服务器上执行任意代码。
此类攻击可能导致信息窃取、网站篡改、未经授权访问敏感系统，甚至完全攻陷存在漏洞的服务器。
据CERT-EU称，可追溯至PHP 5的PHP版本可能受到影响，不过开发团队尚未正式披露受影响版本的完整列表以及漏洞的确切技术性质。
该机构强烈建议各组织识别可能受影响的系统，并准备立即部署安全补丁。更令人担忧的是，它建议那些无法实施必要修复的组织考虑暂时将受影响的网站和应用与公共网络隔离，直至其得到保护。
与此同时，威胁可能已经在成为现实。Cloudflare首席技术官戴恩·克内希特（Dane Knecht）证实，该公司正在观察到早期攻击，并部署更新的Web应用防火墙（WAF）防护以应对新兴攻击手法。
然而，克内希特强调，这些缓解措施是临时的，不能替代即将发布的PHP安全更新。网络安全公司Patchstack也报告称，已从多个托管合作伙伴处收到活跃利用的报告。
对于WordPress管理员，安全公司Wordfence指出了一个重要区别：自动更新WordPress本身不一定能解决底层PHP安装中的漏洞。网站所有者必须确保其托管服务提供商或服务器管理员部署适当的PHP更新。
PHP安全团队敦促用户在修复程序发布后立即升级。据报道，这些漏洞影响多代PHP版本，运行较旧、不受支持版本的组织可能面临额外挑战，尤其是当其安装不再有资格获得官方安全补丁时。
目前，优先事项很明确：识别存在漏洞的PHP安装，尽快应用紧急安全更新，并在无法立即打补丁时隔离暴露的系统。
