PHP 安全团队刚刚发布紧急安全预警，该团队将在 2026 年 10 月 21 日 22:00 发布紧急安全更新用于修复两个高危安全漏洞。目前官方并未公布漏洞细节，不过从网上流传的消息来看，旧版 PHP 存在远程代码执行漏洞，只需要默认安装配置就可以触发漏洞。

PHP 安全团队中表示，当更新发布后建议所有用户立即升级到最新版本，新版本发布后受影响版本、修复版本和部分细节将会公布。官方同时声明，如果漏洞细节被提前公开或出现野外利用证据，不排除会提前发布修复版本。

目前已知漏洞编号为 CVE-2026-109618 和 109619，漏洞评分均为 9.2 分。根据修复计划，PHP 团队仅会为 PHP 8 系列提供安全更新，PHP 5.6 和 7.x 等旧版本将无法获得更新，到时候不知道是否有缓解方案。

PHP 使用率极高，但很多网站仍然在使用已经停止支持的旧版本。网络空间观测数据显示，在 150 万个暴露的 PHP 主机中，约有 59.4% 使用的是无法获取更新的旧版 PHP。当新版本修复后核心漏洞可能很快就会被黑客挖掘出来并发起攻击。

因此接下来可能会有大量网站因为 PHP 漏洞而遭到攻击，这次事件危害性极高，建议使用 PHP 的用户关注晚上 10 点发布的版本更新，如有必要甚至可以提前停机等待更新。