[Diary Point=记者 严周勇] PHP被发现存在两个严重漏洞，未经身份验证的攻击者可借此远程执行代码，目前官方已发布安全更新。PHP开发团队建议所有处理网络请求的PHP环境立即进行升级。
PHP开发团队在21日发布的安全公告中指出，PHP 8.5.12、8.4.27、8.3.36、8.2.35 这几个版本修复了CVE-2026-109618和CVE-2026-109619两个漏洞。两者在CVSS 4.0评分体系下均被评为9.2分，均可在无需任何身份验证的情况下导致远程代码执行。
第一个漏洞源于在处理内存不足情况时，尚未完成初始化的内部请求数据可能被错误处理。第二个漏洞则是指某个请求相关的内部状态在被释放后仍残留在内存中，并可能在后续请求中被重新使用。
可能受影响的环境几乎涵盖所有处理网络请求的PHP部署方式，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP以及LiteSpeed等。PHP开发团队特别指出，在mod_php环境下风险更高，因为攻击可能在应用程序代码执行之前，仅凭未经身份验证的请求就被触发。
运维人员应根据自己所使用的PHP版本系列，升级至相应的修复版本或更高版本。若使用的是Linux发行版或长期支持（LTS）操作系统供应商提供的软件包，也应确认相关供应商是否已应用对应的安全补丁。
PHP 8.1及更早版本已不再获得PHP项目官方的更新支持。部分发行版和长期支持供应商可能会单独提供修复，但PHP开发团队建议用户向相应供应商确认，或升级至受支持的版本。PHP 8.2的安全支持将于2026年12月31日终止。
针对暂时无法立即升级的用户，官方也公布了一些配置调整方案，但PHP开发团队并不认为这些方案是完整的解决办法。安全公告的核心建议仍是升级至修复版本；升级前采取的临时措施只能减少特定攻击路径的暴露风险，并不能从根本上保证系统安全。