专题 · FULL STORY

PHP 双高危 RCE 漏洞：预告、补丁与 POC

PHP安全团队预告紧急更新，修复两个关键RCE漏洞，但补丁仅覆盖PHP 8引发担忧。随后公开的概念验证代码被证实真实可用，不过实际利用仍存在前置条件与门槛。

2026-10-21 ~ 2026-10-21 · 2 集 · 12 条

第 1 集 · PHP 核心曝双高危 RCE 漏洞，10 月 21 日紧急补丁仅覆盖 PHP 8(2026-10-21,10 条)

PHP 安全团队预告将于 2026 年 10 月 21 日 14:00 UTC 发布紧急安全更新，修复两个关键漏洞 CVE-2026-109618 与 CVE-2026-109619，官方标注评分均为 CVSS v4.0 9.2。漏洞信息已提前泄露，安全公司 watchTowr 确认两者均为真实的远程代码执行（RCE）漏洞。这是涉及 PHP 核心的高危漏洞事件，所有 PHP 用户需提前准备升级。

已确认

  • PHP 安全团队预告 2026 年 10 月 21 日 14:00 UTC 发布紧急安全更新，修复两个 CVSS v4.0 评分 9.2 的 critical 漏洞；官方同时说明若漏洞细节提前泄露或出现野外利用，补丁可能提前发布（jedisct1、taylorotwell、jaydeepkarale 等多帖一致转述）
  • 两个漏洞编号为 CVE-2026-109618 与 CVE-2026-109619，漏洞信息已提前泄露；watchTowr 确认两者均为真实 RCE 漏洞（DynamicWebPaige、jaydeepkarale 帖）
  • 安全研究员 cyb3rops 透露其中一个为 PHP 核心的 CVSS 10.0 满分 RCE 漏洞，细节定于 10 月 20 日公布，且仅 PHP 8 系列会获得补丁，更旧版本预计不修复
  • Marc J. Schmidt 警告漏洞影响范围可能下探到 PHP 5，并指出全球各地的 AI agent 正在等待补丁或新二进制文件发布，一旦公开即可立即分析漏洞并构建利用代码，攻击武器的出现速度将远超以往
  • Laravel 创始人 Taylor Otwell 表示 Laravel 全线将紧急适配补丁，并建议所有 PHP 用户提前准备升级
  • 安全账号 SeguInfo 称这是影响面极广的批量安全修复，使用 PHP 的运维将迎来「难熬的日子」；多方转述约 70% 的网站运行 PHP
  • cyb3rops 建议补丁发布前采用容器隔离加严密监控限制潜在损害，并发布了可用于提前监测利用行为的开源 eBPF 工具

尚未确认

  • 官方评分 9.2 与 cyb3rops 所称单漏洞 CVSS 10.0 之间存在差异，满分评级的口径未获官方确认
  • Marc J. Schmidt 称漏洞波及 PHP 5，与「仅 PHP 8 获补丁」的关系（即旧版本受影响但无补丁，还是影响范围本身存疑）待官方公告澄清
  • 是否已出现野外利用暂无证据

为什么重要

  • 漏洞位于 PHP 核心、最高评分达 CVSS 10.0，理论上可被远程利用执行任意代码，而约 70% 的网站运行 PHP，影响面极大
  • 仅 PHP 8 获补丁意味着旧版本用户即使想打补丁也无处可打，可能被迫升级大版本
  • Marc J. Schmidt 指出的 AI agent 加速武器化威胁，意味着补丁公开后利用代码可能出现得更快，补丁窗口期被进一步压缩
  • 漏洞细节已提前泄露，运维团队应在 10 月 21 日前完成升级预案、隔离与监控准备

第 2 集 · PHP 远程代码执行 POC 被证实可用，利用仍有门槛(2026-10-21,2 条)

安全圈人士确认，已公开泄露的 PHP 远程代码执行（RCE）漏洞概念验证代码真实有效。不过利用并非「脚本指向网站就能拿下」那么简单，实际利用存在一定前置条件和门槛。但结合官方对该漏洞的高危定级，整体情况仍相当令人担忧，相关人员应尽快关注并修复相关漏洞。