PHP 核心 RCE 漏洞（CVE-2026-109618/109619）泄露

一、公告事项

近期 PHP 核心中两个此前被封锁的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）细节在协调披露前遭泄露，PHP 安全团队已提前发布安全版本发布通知，拟于 2026 年 10 月 21 日 14:00 UTC 发布修复版本。

二、具体内容

漏洞概况：PHP 核心存在两个远程代码执行漏洞，追踪编号为 CVE-2026-109618 与 CVE-2026-109619；PHP 安全团队官方评级为 CVSS v4.0 9.2，社区报告称 CVSS 10.0。

泄露情况：2026 年 10 月 20 日，相关信息在 Hacker News 删除帖及 X、Mastodon 传播；watchTowr 确认漏洞真实存在，但禁运未解除前不披露细节。

官方响应：PHP 安全团队于 php.net 发布提前通知，安全版本发布会定于 2026 年 10 月 21 日（周三）14:00 UTC，解决上述两关键漏洞；若细节公开或出现积极利用证据，保留提前发布权利。

影响范围：报告显示影响广泛，预计补丁仅针对受支持的 PHP 8 分支；PHP 5 与 PHP 7 已近 EOL，无官方修复。

三、相关说明或提示

建议用户清点所有 PHP 实例（版本与部署方式），优先迁移 PHP 5/7 至 PHP 8，关注 10 月 21 日 php.net 及厂商渠道并及时升级。
目前无公开 PoC 及利用证据，技术细节待发布后披露。

消息原文： http://hf.wwszxc.tax:23127/wiki/announcement/13