- PHP针对整个PHP 8.x系列发布更新，修复2个远程代码执行漏洞。
- Simon Willison表示，由于协调披露流程出现泄漏，漏洞利用程序从前一晚起就已开始传播。
- PHP表示，2个CVE编号于2026年10月20日约15:00 UTC开始传播，所附发布时间和CVSS评分10.0均不正确（实际评分为9.2）。
PHP于2026年10月21日针对整个PHP 8.x系列发布更新，修复2个严重的远程代码执行漏洞。
在满足相应条件时，这些漏洞允许未经身份验证的攻击者在运行PHP的服务器上执行代码。Simon Willison表示，由于协调披露流程出现泄漏，漏洞利用程序从前一晚起就已开始传播。
PHP运行着互联网的大量网站，包括政府服务、在线商店、银行、媒体网站和企业软件。Wiz Research表示，PHP为全球70%的网站提供支持。
漏洞涉及内存不足破坏和过期全局状态
CVE-2026-109618是由内存不足破坏导致的远程代码执行。CVE-2026-109619是由过期全局状态导致的远程代码执行。
Wiz Research表示，这些漏洞可能允许未经身份验证的攻击者在受影响服务器上执行代码，或读取敏感的进程内存。该机构演示了一个组合php2shell漏洞利用脚本，可针对WordPress、Drupal和Joomla部署，在无需身份验证的情况下远程执行代码。
披露泄漏加速了概念验证的传播
PHP Foundation表示，该视频促使概念验证漏洞利用程序加速开发，并于10月21日增加了传播。Chainguard于10月21日07:41 UTC发布了包含修复程序的构建镜像，比协调发布早六个多小时。
Wiz确认未经身份验证的RCE后报告了漏洞
Wiz Research于2026年8月19日使用Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol发现第1个PHP漏洞。该机构于8月20日确认针对Drupal的未经身份验证的远程代码执行，并于8月21日确认针对WordPress的未经身份验证的远程代码执行，随后于8月24日向PHP安全团队报告了这些漏洞。
PHP于2026年9月21日确认收到Wiz的报告，并开始开发协调修复方案。Help Net Security报道，这2个漏洞根据CVSS4.0版的评级均为9.2严重。
PHP项目发布了PHP 8.5.12、8.4.27、8.3.36和8.2.35，作为此次更新的一部分。PHP Foundation表示，其安全团队在泄漏后监控概念验证材料，但在发布和公开披露时没有发现可运行的漏洞利用程序。
常见问题
PHP 8.x发生了什么？
PHP针对整个PHP 8.x系列发布更新，以修复2个远程代码执行漏洞。
哪些PHP版本受到影响？
Wiz Research表示，过去10年发布的每个PHP版本至少受到其中1个漏洞影响，追溯至PHP 5.4。
PHP漏洞是否被利用？
Simon Willison表示，由于协调披露流程出现泄漏，漏洞利用程序从前一晚起就已开始传播。PHP Foundation表示，在发布和公开披露时没有发现可运行的漏洞利用程序。
CVE-2026-109618和CVE-2026-109619有什么作用？
CVE-2026-109618是由内存不足破坏导致的远程代码执行，而CVE-2026-109619是由过期全局状态导致的远程代码执行。
哪些PHP更新修复了这些漏洞？
PHP项目发布了PHP 8.5.12、8.4.27、8.3.36和8.2.35。Wiz Research表示，应用PHP安全更新仍是唯一完整的修复措施。
来源
- Today's PHP Security Release, and How We're Strengthening PHP Security, PHP原始文件
- Today, PHP Foundation原始文件
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog, Wiz Research原始文件
- A critical PHP security release is coming today, so get ready to update!, Help Net Security
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| PHP针对整个PHP 8.x系列发布更新，修复2个远程代码执行漏洞。 | PHP | 引述 |
| Simon Willison表示，由于协调披露流程出现泄漏，漏洞利用程序从前一晚起就已开始传播。 | Simon Willison | 引述 |
| PHP表示，实际CVSS评分为9.2，而不是传播中的10.0。 | PHP | 引述 |
| Help Net Security报道，这2个漏洞根据CVSS 4.0版的评级均为9.2严重。 | Help Net Security | 引述 |
| PHP Foundation表示，在满足相应条件时，这2个漏洞允许未经身份验证的攻击者执行代码。 | PHP Foundation | 已证实 |
| PHP项目在CVE泄漏后于19:30 UTC发布了预公告。 | PHP Foundation | 已证实 |
| Chainguard于10月21日07:41 UTC发布了包含修复程序的构建镜像，比协调发布早6个多小时。 | PHP Foundation | 已证实 |
| PHP项目发布了PHP 8.5.12、8.4.27、8.3.36和8.2.35。 | PHP Foundation | 已证实 |
| 第1个漏洞由Wiz Research于2026年8月19日使用Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol发现。 | Wiz Research | 已证实 |
| Wiz于2026年8月20日确认针对Drupal的未经身份验证的远程代码执行。 | Wiz Research | 已证实 |
| Wiz于2026年8月21日确认针对WordPress的未经身份验证的远程代码执行。 | Wiz Research | 已证实 |
| Wiz Research于2026年8月24日向PHP安全团队报告了这些漏洞。 | Wiz Research | 已证实 |
| PHP于2026年9月21日确认收到Wiz的报告，并开始开发协调修复方案。 | Wiz Research | 引述 |
| Wiz Research表示，过去10年发布的PHP版本，追溯至5.4版，受到这些漏洞影响。 | Wiz Research | 引述 |
| Wiz表示，这些漏洞可能允许未经身份验证的攻击者执行代码或读取敏感的进程内存。 | Wiz Research | 引述 |
| Wiz演示了其组合php2shell漏洞利用脚本，可针对WordPress、Drupal和Joomla，在无需身份验证的情况下远程执行代码。 | Wiz Research | 引述 |
| Wiz表示，应用PHP安全更新仍是唯一完整的修复措施。 | Wiz Research | 引述 |
| CVE-2026-109618是由内存不足破坏导致的远程代码执行。 | PHP Foundation | 已证实 |
| CVE-2026-109619是由过期全局状态导致的远程代码执行。 | PHP Foundation | 已证实 |
| PHP Foundation表示，在发布和公开披露时没有发现可运行的漏洞利用程序。 | PHP Foundation | 已证实 |
| PHP Foundation表示，PHP运行着互联网的大量网站，包括政府服务、在线商店、银行、媒体网站和企业软件。 | PHP Foundation | 已证实 |
| Wiz表示，PHP为全球70%的网站提供支持。 | Wiz Research | 引述 |
| simonwillison.net于2026年10月21日发布了其报告。 | simonwillison.net | 已证实 |
| wiz.io于2026年10月21日发布了其报告。 | wiz.io | 已证实 |
未能核实
- 这些传播中的漏洞利用程序是否被用于现实世界的目标，尚未确定。
- 有多少PHP安装受到影响或被利用，尚未确定。
- 这2个漏洞是否在公开披露前被利用，尚未确定。
- CVE-2026-109618或CVE-2026-109619是否被单独利用，尚未确定。
