> ## Content Index
> Fetch the complete content index at: https://eponews.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# PHP两项严重漏洞引发全球安全警报，官方紧急发布修复补丁
- URL: https://eponews.com/php-critical-security-vulnerabilities-emergency-patches-2026/
- Published: 2026-10-21T19:56:05.000Z
- Updated: 2026-10-21T19:56:05.000Z
- Description: 全球广泛使用的服务器端编程语言PHP发布紧急安全更新，修复两项可能让未经身份验证的攻击者远程执行代码的严重漏洞。欧洲部分政府及公共机构网站一度采取预防性下线措施，英国网络安全机构敦促组织立即排查风险。
- Author: 杜维安
- Tags: 网络安全, PHP, 服务器漏洞, 远程代码执行, WordPress, 欧洲, 科技

全球互联网刚经历了一场由基础软件漏洞引发的安全危机。

PHP开发团队周三（10月21日）紧急发布四个安全版本，修复两项可能使攻击者在无需登录的情况下远程执行代码的严重漏洞。受影响的并非某一家网站或某款应用，而是支撑大量网络服务运行的PHP程序语言本身。

根据PHP官方安全公告，两项漏洞分别编号为CVE-2026-109618和CVE-2026-109619。攻击者可能利用服务器处理网络请求时的内存管理缺陷，执行恶意程序，进而危及服务器及其处理的数据。

PHP开发团队要求用户立即升级，并明确表示，目前不存在能够完整消除风险的临时缓解措施。

PHP是全球应用最广泛的服务器端编程语言之一。WordPress、Drupal等内容管理系统，以及大量电子商务平台、企业网站和公共服务系统，都依赖PHP处理用户请求。

此次披露的安全问题尤其值得关注，因为漏洞存在于PHP自身，而不只是某个网站插件或第三方应用。

第一项漏洞CVE-2026-109618涉及内存不足情况下的数据处理。当PHP在内部请求数据尚未完整初始化时发生内存分配失败，后续清理程序可能错误地处理无效数据。

第二项漏洞CVE-2026-109619则与内部状态管理有关。某些请求使用的内存已经释放，但相关状态可能被后续请求重新引用，从而产生安全风险。

在特定条件下，两项缺陷都可能被利用来执行攻击者指定的代码。

PHP官方特别指出，使用Apache mod\_php的部署环境风险较高。研究人员已经展示，在这种环境中，未经身份验证的恶意请求可能在网站应用代码开始运行之前触发攻击。

这意味着，即使网站本身没有明显的应用程序漏洞，也不能据此认定服务器安全。

![CRIME POLICE CENTER FOR CYBER SECURITY](https://images.openai.com/static-rsc-4/UEhbmZEYaM1_L_OC-Hv0CkUJhzpogWJmFRCsc5fVICF_YnlonQsiGoMN9qJUzbEdeKfveWyi59CkrQOenJSzdBJFEYQsEehBg8Ke0xfaReZN8ivzoBt9cVSS7zn3pssZFkasFuMvCz64VZRJ9N-bXJZhrclX0Ry47ElquiDV4T7hcgKKhDNTXFHff7n563ZX?purpose=inline)

欧洲公共服务网站与网络安全管理示意资料图，非本次事件现场。

漏洞披露后，欧洲部分政府、学校和医疗机构网站暂时停止对外服务，以便进行风险评估及安全修复。

路透社报道，一些公共机构选择在补丁正式发布前主动关闭相关网站，而不是继续暴露在潜在攻击风险之下。

英国国家网络安全中心（NCSC）也发布警告，要求使用PHP的组织尽快采取防护措施。

对于公共服务系统而言，这是一项艰难的选择。继续运行可能增加遭攻击的风险，暂时关闭则可能影响居民办理政府事务、查询公共信息或使用线上服务。

不过，网站下线并不等于已经遭到黑客入侵。部分机构采取的是预防性措施，目前不能将这些停机事件全部归因于成功攻击。

PHP 官方紧急修复的四个版本 

| PHP 版本系列 | 最新安全修复版本 |
| -------- | -------- |
| PHP 8.5  | 8.5.12   |
| PHP 8.4  | 8.4.27   |
| PHP 8.3  | 8.3.36   |
| PHP 8.2  | 8.2.35   |

发布日期：2026年10月21日 ｜资料来源：PHP 官方安全公告 

官方同时提醒，PHP 8.1及更早版本已不再获得PHP项目的常规安全更新。仍使用这些版本的网站，需要升级至受支持版本，或确认所采用的Linux发行版、长期支持供应商已经提供相应的安全补丁。

对于暂时无法升级的服务器，开发团队提出了一系列降低风险的配置建议，但强调这些措施只能覆盖部分已知攻击路径，不能代替安装补丁。

网站运营者还需要检查实际运行的PHP版本、服务器部署方式，以及更新后是否已经重新启动相关工作进程。

这场危机的特殊之处，在于它发生在互联网基础技术层。

现代网站通常由多层软件组成。访问者看到的是网页，背后却可能运行着操作系统、Web服务器、编程语言、数据库，以及各种应用程序和插件。

只要其中一个被广泛采用的基础组件出现严重漏洞，影响便可能迅速跨越行业与国界。

对于中小企业和独立网站经营者，问题尤其现实。许多网站长期依赖托管服务商维护服务器，经营者未必清楚后台实际使用的PHP版本，更难以判断是否及时安装了安全更新。

此次事件再次说明，网络安全并不只取决于密码强度或网站有没有遭到直接攻击。底层软件的维护状况，同样决定着网站能否安全运行。

目前，安全补丁已经发布。接下来真正重要的问题，是全球数量庞大的PHP服务器能否及时完成升级，以及是否会出现经独立证实的大规模入侵事件。