2026年10月21日，PHP 官方发布重大安全漏洞公告，披露两个可能导致未授权远程代码执行的高危漏洞。漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，攻击者在特定条件下可能利用漏洞在服务器上执行恶意代码。PHP 官方已发布修复版本，建议网站管理员、服务器运维人员及使用 PHP 建站的企业尽快排查受影响环境，及时采取升级和安全防护措施。
一、PHP曝出两个高危安全漏洞，网站运行环境需要重点排查
根据 PHP 官方发布的安全公告，此次披露的两个漏洞分别涉及异常情况下的内存处理问题和已释放内存的再次使用问题。
相关漏洞编号如下：
CVE-2026-109618： 涉及内存耗尽情况下的异常处理问题。
CVE-2026-109619： 涉及已释放内存的再次使用（Use After Free）问题。
在符合漏洞利用条件的情况下，攻击者可能通过构造特定请求，在未通过身份验证的情况下执行恶意代码，从而威胁服务器及网站业务的安全。
此次安全风险涉及 PHP 多种运行方式，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等。对于直接面向互联网提供服务的网站，应当优先开展安全检查。
需要注意，漏洞是否能够被利用，还与具体 PHP 版本、服务器配置及运行环境有关，不能仅凭网站能否正常打开来判断是否安全。
二、PHP 8.0 用户需要注意什么？
如果你的网站仍在使用 PHP 8.0，建议尽快安排安全检查。
PHP 官方已经停止对 PHP 8.0 提供常规安全更新。虽然官方针对本次漏洞提供了有限的源码补丁支持，但这不代表所有 PHP 8.0 安装环境都已经自动获得修复。
因此，使用 PHP 8.0 的网站管理员应重点确认以下事项：
当前服务器实际运行的 PHP 版本，以及 PHP 的安装来源。
主机服务商、Linux 发行版或面板软件是否提供了对应的安全补丁。
网站使用的 CMS、插件、主题及其他 PHP 组件是否存在待更新版本。
服务器是否存在异常进程、陌生文件、异常账号或可疑的外部网络连接。
如果无法确认当前环境是否已经修复，建议及时联系服务器服务商或专业运维人员进行核查。
三、官方已发布修复版本，建议及时更新
PHP 官方公布了以下修复版本。使用对应分支的用户，应确认已升级到表中版本或服务商提供的等效安全修复版本。
| PHP 分支 | 本次漏洞对应的修复版本 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
以上版本信息依据 PHP 官方 2026 年 10 月 21 日的安全公告整理。
对于 PHP 8.0 用户，建议优先规划迁移至仍受支持的 PHP 版本，并在升级前检查网站程序的兼容性。如果暂时无法迁移，应向主机服务商确认是否已应用适用于当前环境的安全补丁，不要直接假设原有版本已经安全。
官方公告及更新信息：
PHP 官方网站：https://www.php.net/
PHP 官方安全公告：https://www.php.net/archive/2026.php
四、网站管理员应该如何处理？
针对本次漏洞，建议按照以下步骤开展排查和修复。
第一步：检查 PHP 版本。
登录服务器管理面板，查看网站对应的 PHP 运行版本。使用命令行的用户可以执行：
php -v
需要注意，该命令显示的可能是命令行 PHP 版本，不一定与网站实际使用的 PHP-FPM 或 Web 服务版本一致。应结合网站运行环境进一步确认。
第二步：备份网站和数据库。
在升级 PHP 或调整服务器配置之前，建议备份网站程序、数据库和关键配置文件，并确认具备必要的恢复条件，避免升级后出现兼容性问题。
第三步：升级或应用安全补丁。
优先通过服务器操作系统、主机服务商或 PHP 官方认可的更新渠道完成修复。升级前应测试网站程序、数据库连接、插件及相关业务功能，确认兼容后再安排正式环境更新。
第四步：检查网站运行状态。
修复后，检查网站前台、后台登录、表单提交、文件上传、定时任务及接口功能是否正常，同时查看 Web 服务和 PHP 错误日志。
第五步：排查是否存在异常活动。
如果服务器曾长期运行受影响版本，建议进一步检查异常文件、陌生进程、可疑账号、异常登录记录及外联行为。如发现疑似入侵迹象，应及时隔离受影响主机、保留日志和证据，并开展安全处置。
五、暂时无法升级怎么办？
对于暂时无法升级的老旧网站，不建议仅通过隐藏报错信息、修改普通 PHP 参数或安装常规安全插件来判断风险已经消除。
临时防护措施可以降低部分攻击路径的暴露风险，但不能替代针对漏洞的有效修复。
建议采取以下措施：
联系服务器服务商，确认是否有适用于当前 PHP 版本的安全补丁。
对无法及时修复的互联网业务系统，评估临时限制公网访问或隔离相关服务的必要性。
加强服务器日志监控，关注异常请求、进程、文件及网络连接。
制定 PHP 版本升级计划，逐步淘汰停止官方安全维护的运行环境。
对于承载企业官网、客户信息、业务系统或后台管理平台的服务器，应优先处理相关风险。
此次 PHP 安全公告提醒网站运营者，网站安全不仅取决于程序本身，也与服务器运行环境、依赖组件和日常维护密切相关。
如果你的网站仍在使用 PHP 8.0 或其他老旧版本，建议尽快核实实际运行环境，确认安全补丁状态，并制定合理的升级计划。完成修复后，还应持续关注官方安全公告，定期检查网站程序和服务器运行状态。
网站能够正常访问，不代表服务器不存在安全风险。及时更新、做好备份并持续开展安全检查，才是降低网站安全风险的重要措施。
本文根据 PHP 官方于 2026 年 10 月 21 日发布的安全公告整理，具体修复方式请以 PHP 官方公告、操作系统供应商及服务器服务商提供的信息为准。
