PHP 官方安全团队已发出提前安全预警：将修复两个严重级别的远程代码执行漏洞，编号 CVE-2026-109618 和 CVE-2026-109619，两个漏洞的 CVSS v4.0 评分均为 9.2。预计影响所有 PHP 版本，以便在版本发布后第一时间完成升级。
建议立即关闭所有php语言类的网站、建议立即关闭所有php语言类的网站、建议立即关闭所有php语言类的网站！！！
一、事件概述
PHP 官方已发布通知（https://www.php.net/archive/2026.php#2026-10-20-1）：即将发布一次安全更新。本次更新聚焦两个被评定为「严重（Critical）」级别的漏洞，两个漏洞的 CVSS v4.0 评分均为 9.2，属于需要尽快处置的高危风险。
官方特别强调，完整的漏洞细节、受影响的版本范围、以及对应的修复版本，都不会在预警阶段公开，而是要等到正式发布时一并公布。这意味着现阶段我们能做的，是提前把升级准备做好，而不是去猜测具体的漏洞编号或版本号。
关键信息速览
| 项目 | 内容 |
|---|---|
| 发布主体 | PHP 官方安全团队 |
| 发布性质 | 安全版本更新（Security Release） |
| 漏洞数量 | 2 个，均为严重级别 |
| 危害评分 | CVSS v4.0 = 9.2（两个均相同） |
| 发布时间 | 2026 年 10 月 21 日（周三）14:00 UTC |
| 北京时间换算 | 2026 年 10 月 21 日 22:00（UTC+8） |
| 受影响版本 / 修复版本 | 发布时统一公布（当前未公开） |
二、漏洞影响
从「两个严重漏洞、CVSS 均达 9.2」这一信息可以判断，本轮风险对运行 PHP 的服务具有较高的潜在影响面——任何在生产环境使用 PHP 的网站、接口或后台服务都可能落在受影响范围内。
需要提醒的是：由于官方尚未披露漏洞类型与受影响版本，现在无法判断你的具体版本是否在列。最稳妥的做法是假设自身可能受影响，并提前完成升级预案，而不是等发布后临时排查。
三、你应该立即做的几件事
- 盘点现状。 梳理在跑业务使用的 PHP 版本、部署方式（源码编译 / 包管理器 / 容器镜像）和数量，做到「哪些机器跑什么版本」心里有数。
- 准备升级通道。 确认能从官方或可信镜像拉取新版本，提前准备好回滚方案与备份，wlnmp一建安装包也会在官方发布后第一时间更新。
- 安排发布窗口。 把 10 月 21 日 14:00 UTC（北京时间 22:00）前后预留为升级窗口，协调好运维与业务方。
- 建议临时关闭所有php语言类的网站、 建议临时关闭所有php语言类的网站、建议临时关闭所有php语言类的网站。
注：在官方公布受影响版本前，不建议盲目跨大版本升级，以免引入不兼容问题；建议等发布说明出炉后，按官方给出的「受影响版本 → 修复版本」对应关系精准升级。
四、时间线与提前发布条款
- 计划发布：2026-10-21 14:00 UTC（北京时间 22:00）
- 可能提前发布：若任一漏洞的细节被公开，或出现被实际利用的证据，官方保留提前发布的权利。
- 完整信息公开节点：随正式发布同步公开漏洞详情、受影响版本与修复版本。
这意味着「提前发布」并非小概率事件——一旦漏洞细节外泄或出现真实攻击，更新可能早于排期时间放出。因此，准备工作越靠前越好。
> 一句话总结：漏洞很严重（CVSS 9.2 × 2），但细节还要等发布。现在就把升级预案、备份准备好。
五、写在最后
PHP 作为支撑了大量互联网服务的底层语言，一次严重安全更新往往牵动无数业务。官方选择提前预警，本身就是给社区留出准备时间的善意信号。对开发和运维同学来说，与其等漏洞爆发后再救火，不如立即就动起来。
六、wlnmp跟进
wlnmp一键安装包会时刻跟进官方动向，一旦官方补丁出来后，wlnmp会第一时间进行补丁修复、升级包的发布，请及时关注wlnmp官网公告（https://www.wlnmp.com/changelog）。
原文链接：紧急预警｜PHP即将发布安全更新，修复两个CVSS 9.2严重漏洞，转载请注明来源！
