[技术] PHP 核心曝出两个 9.2 分漏洞：官方没等补丁就先喊话，Wiki 站群连夜关站

题图不重要，重要的是这条：PHP 官方 10 月 20 日发出安全预警，核心存在两个严重漏洞，CVSS v4.0 评分都是 9.2。官方给出的修复发布时间是 10 月 21 日 22:00（北京时间），而且罕见地没等补丁做好就提前一天通知，让所有人先做准备。

据 watchTowr 等安全机构的说法，这两个漏洞可能是远程代码执行（RCE），编号为 CVE-2026-109618 和 CVE-2026-109619，影响范围可能追溯到 PHP 5 以来的多个版本。需要强调：官方当时并未确认编号、攻击方式和受影响版本，只确认漏洞存在、正在修。

RCE 意味着什么不用多解释——攻击者可能通过网络让服务器执行任意代码，轻则被挂马，重则整站被接管、数据被打包带走。

受影响面几乎是整个 PHP 生态：WordPress、Drupal、Joomla、Magento、PrestaShop、WooCommerce、phpBB、Flarum、XenForo、Nextcloud、ownCloud、phpMyAdmin、GLPI、Moodle、SuiteCRM，以及 Laravel、Symfony 这类框架。换句话说，只要你还在跑 PHP，这件事就跟你有关。

更直观的信号来自站长们的反应：Miraheze 全站停止访问，WikiOasis 全站停止访问，Weird Gloop 受限（含 Minecraft Wiki），Wikimedia 也进入维护状态。在补丁还没发布的时候选择直接关站，说明大家对这个评分的分量心里有数。

给还在跑 PHP 的朋友三条建议：一是先把 PHP 版本、扩展清单和自建/托管的边界摸清楚，别等补丁出来才发现某个老项目根本升不上去；二是补丁发布后先看官方公告确认受影响版本，再安排灰度，别一窝蜂全网热更；三是这两天重点盯 access log 里可疑的 POST 与异常参数，尤其是那些对外暴露的第三方插件入口。

这类漏洞最麻烦的地方从来不是打补丁本身，而是那些没人维护、又跑在生产上的历史项目。

原文链接：https://www.appinn.com/php-critical-rce-vulnerability-2026/
来源：小众软件