2026 年 10 月 20 日，PHP 官方发布紧急安全预告，确认即将发布安全更新，以修复两项严重安全漏洞。两项漏洞的 CVSS v4.0 评分均为 9.2 分，严重等级为 Critical（严重）。
根据 PHP 官方公告，修复版本计划于北京时间 2026 年 10 月 21 日 22:00发布。但仅支持php8.2以上版本。
漏洞基本情况
根据 CERT-EU、watchTowr 等安全机构披露的信息，本次事件可能涉及远程代码执行（RCE）风险，相关漏洞编号为 CVE-2026-109618、CVE-2026-109619。
漏洞涉及全部PHP版本，PHP开发团队于周三发布紧急补丁，并呼吁所有用户"立即更新"。但官方仅为PHP8.2以上版本提供补丁。
该漏洞在PHP代码库中潜伏逾十年，此次由美国网络安全公司借助谷歌和OpenAI旗下AI工具发现。由于补丁已公开发布，专家警告称，黑客可利用AI轻易对漏洞进行逆向工程，大规模入侵攻击浪潮或一触即发。
多国政府紧急响应，下线浪潮席卷欧美日
由于全球70%以上网站和服务器使用PHP，很多政府网站都是PHP，为紧急应对即将到来的大规模攻击，
欧洲多国政府周三也因有关这些严重安全漏洞的警告而将网站下线。作为预防措施，将所有面向公众的互联网服务下线。部分国家的中央和地方政府的网站也被关闭。
日本、美国，政府层面也牵头紧急应对漏洞，呼吁尽快升级，或暂时下线。
目前唯一应对方法
升级到PHP8.2以上，更新PHP官方的补丁。
