- PHP涵蓋整個8.x系列的更新，修補兩個遠程程式碼執行漏洞。
- Simon Willison表示，由於協調披露流程出現外洩，漏洞利用程式自前一晚起已開始流傳。
- PHP表示，兩個CVE編號於2026年10月20日約15:00 UTC開始流傳，所附發布時間及CVSS評分10.0均不正確（實際評分為9.2）。
PHP於2026年10月21日發布涵蓋整個8.x系列的更新，修補兩項關鍵遠程程式碼執行漏洞。
在適當條件下，漏洞容許未經身份驗證的攻擊者在運行PHP的伺服器上執行程式碼。Simon Willison表示，由於協調披露流程出現外洩，漏洞利用程式自前一晚起已開始流傳。
PHP運行於網絡大量網站，包括政府服務、網上商店、銀行、媒體網站及商業軟件。Wiz Research表示，PHP支援全球70%的網站。
漏洞涉及記憶體耗盡損壞及過時全局狀態
CVE-2026-109618是由記憶體耗盡損壞引致的遠程程式碼執行。CVE-2026-109619是由過時全局狀態引致的遠程程式碼執行。
Wiz Research表示，漏洞可容許未經身份驗證的攻擊者在受影響伺服器上執行程式碼，或讀取敏感的程序記憶體。該機構示範一個結合的php2shell漏洞利用程式，在WordPress、Drupal及Joomla部署上無需身份驗證而遠程執行程式碼。
披露外洩加快概念驗證程式流傳
PHP Foundation表示，該影片促使概念驗證漏洞利用程式加快開發，令其於10月21日流傳增加。Chainguard於10月21日07:41 UTC發布包含修補程式的已構建映像，比協調發布早逾六小時。
Wiz確認未經身份驗證的遠程執行後報告漏洞
Wiz Research於2026年8月19日使用Wiz Atlas、Gemini 4 Argon及GPT-5.6 Sol發現首項PHP漏洞。該機構於8月20日確認可在Drupal上進行未經身份驗證的遠程程式碼執行，並於8月21日在WordPress上確認，之後於8月24日向PHP安全團隊報告漏洞。
PHP確認Wiz的報告，並於2026年9月21日開始制定協調修補方案。Help Net Security報道，兩項漏洞根據CVSS4.0版本評定為9.2分關鍵級別。
PHP項目發布PHP 8.5.12、8.4.27、8.3.36及8.2.35作為更新的一部分。PHP Foundation表示，其安全團隊在外洩後監察概念驗證材料，但在發布及公開披露時未發現可運作的漏洞利用程式。
常見問題
PHP 8.x發生了甚麼事？
PHP發布涵蓋整個8.x系列的更新，以修補兩項遠程程式碼執行漏洞。
哪些PHP版本受影響？
Wiz Research表示，過去十年發布的每個PHP版本至少受一項漏洞影響，追溯至PHP 5.4。
PHP漏洞曾遭利用嗎？
Simon Willison表示，由於協調披露流程出現外洩，漏洞利用程式自前一晚起已開始流傳。PHP Foundation表示，在發布及公開披露時未發現可運作的漏洞利用程式。
CVE-2026-109618及CVE-2026-109619有甚麼作用？
CVE-2026-109618是由記憶體耗盡損壞引致的遠程程式碼執行，而CVE-2026-109619是由過時全局狀態引致的遠程程式碼執行。
哪些PHP更新修補漏洞？
PHP項目發布PHP 8.5.12、8.4.27、8.3.36及8.2.35。Wiz Research表示，套用PHP安全更新仍是唯一完整的修補方法。
來源
- Today's PHP Security Release, and How We're Strengthening PHP Security, PHP原始文件
- Today, PHP Foundation原始文件
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog, Wiz Research原始文件
- A critical PHP security release is coming today, so get ready to update!, Help Net Security
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| PHP涵蓋整個8.x系列的更新，修補兩個遠程程式碼執行漏洞。 | PHP | 引述 |
| Simon Willison表示，由於協調披露流程出現外洩，漏洞利用程式自前一晚起已開始流傳。 | Simon Willison | 引述 |
| PHP表示，實際CVSS評分為9.2，而非流傳的10.0分。 | PHP | 引述 |
| Help Net Security報道，兩項漏洞根據CVSS4.0版本評定為9.2分關鍵級別。 | Help Net Security | 引述 |
| PHP Foundation表示，兩項漏洞在適當條件下容許未經身份驗證的攻擊者執行程式碼。 | PHP Foundation | 已證實 |
| PHP項目在CVE外洩後於19:30 UTC發布預告。 | PHP Foundation | 已證實 |
| Chainguard於10月21日07:41 UTC發布包含修補程式的已構建映像，比協調發布早逾6小時。 | PHP Foundation | 已證實 |
| PHP項目發布PHP 8.5.12、8.4.27、8.3.36及8.2.35。 | PHP Foundation | 已證實 |
| 首項漏洞由Wiz Research於2026年8月19日使用Wiz Atlas、Gemini 4 Argon及GPT-5.6 Sol發現。 | Wiz Research | 已證實 |
| Wiz於2026年8月20日確認可在Drupal上進行未經身份驗證的遠程程式碼執行。 | Wiz Research | 已證實 |
| Wiz於2026年8月21日確認可在WordPress上進行未經身份驗證的遠程程式碼執行。 | Wiz Research | 已證實 |
| Wiz Research於2026年8月24日向PHP安全團隊報告漏洞。 | Wiz Research | 已證實 |
| PHP確認Wiz的報告，並於2026年9月21日開始制定協調修補方案。 | Wiz Research | 引述 |
| Wiz Research表示，過去十年發布的PHP版本，追溯至5.4版，均受漏洞影響。 | Wiz Research | 引述 |
| Wiz表示，漏洞可容許未經身份驗證的攻擊者執行程式碼或讀取敏感程序記憶體。 | Wiz Research | 引述 |
| Wiz示範其結合的php2shell漏洞利用程式，在WordPress、Drupal及Joomla上無需身份驗證而遠程執行程式碼。 | Wiz Research | 引述 |
| Wiz表示，套用PHP安全更新仍是唯一完整的修補方法。 | Wiz Research | 引述 |
| CVE-2026-109618是由記憶體耗盡損壞引致的遠程程式碼執行。 | PHP Foundation | 已證實 |
| CVE-2026-109619是由過時全局狀態引致的遠程程式碼執行。 | PHP Foundation | 已證實 |
| PHP Foundation表示，在發布及公開披露時未發現可運作的漏洞利用程式。 | PHP Foundation | 已證實 |
| PHP Foundation表示，PHP運行於網絡大量網站，包括政府服務、網上商店、銀行、媒體網站及商業軟件。 | PHP Foundation | 已證實 |
| Wiz表示，PHP支援全球70%的網站。 | Wiz Research | 引述 |
| simonwillison.net於2026年10月21日發布報告。 | simonwillison.net | 已證實 |
| wiz.io於2026年10月21日發布報告。 | wiz.io | 已證實 |
未能核實
- 流傳的漏洞利用程式是否曾用於現實世界目標，尚未確定。
- 有多少個PHP安裝受影響或遭利用，尚未確定。
- 兩項漏洞是否在公開披露前遭利用，尚未確定。
- CVE-2026-109618或CVE-2026-109619是否曾被單獨利用，尚未確定。
