PHP 严重远程代码执行漏洞已修复：请立即升级到 8.5.12、8.4.27、8.3.36 或 8.2.35

PHP 已发布安全更新，修复两个可导致未经身份验证远程代码执行的严重漏洞：PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 项目呼吁所有用户立即更新，并表示不存在完整的缓解措施，升级是唯一安全的选择。

这是对我们此前文章《PHP 紧急安全更新将于 2026 年 10 月 21 日发布》的后续，那篇写于细节公开之前。

PHP 官方公告怎么说

2026 年 10 月 21 日发布的 PHP 安全公告描述了两个漏洞：

CVE-2026-109618：通过内存不足（OOM）破坏实现远程代码执行。内存不足的处理可能在内部请求数据尚未完全初始化时打断 PHP，随后请求清理流程可能把无效数据当作有效数据处理。
CVE-2026-109619：通过残留的全局状态实现远程代码执行。请求所属的内部状态在其底层内存被释放后仍然存在，同一工作进程处理的后续请求可能会使用这一残留状态。

PHP 表示，所有处理 Web 请求的 PHP 安装均受影响，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed，其中 mod_php 风险最高。

PHP 8.1 及更早版本已不再获得 PHP 项目的更新，不过项目为 7.4、8.0 和 8.1 提供了最小化的源码回移补丁，部分发行版和 LTS 供应商也提供各自的修复。

据 Help Net Security 报道，Amazon Threat Intelligence 在 2026 年 10 月 17 日，即公开披露前四天，记录到一次利用尝试。该报道还提到 Cloudflare 已针对已知攻击方式增加了初步的 WAF 规则，但这只是部分措施，并非根本修复。

检查 PHP 版本。在主机控制面板中查看，或在 WordPress 的工具 → 站点健康 → 信息中查看。
先备份。参考我们的网站备份指南。
将 PHP 升级到已修复版本。共享主机可在控制面板中选择已修复的版本（如果提供），或联系主机商；VPS 或专用服务器请从操作系统供应商安装更新后的软件包，并重启 PHP 和 Web 服务。
测试网站。检查首页、表单、结账流程和后台登录，并查看错误日志。
淘汰不受支持的 PHP。如果仍在使用 8.1 或更早版本，请迁移到受支持的版本，并同步更新 WordPress、主题和插件。

DDoS 防护等额外防护层以及良好的网站安全基础会有帮助，但不能替代打补丁。自己管理服务器？请查看 VPS 主机页面的套餐；如果不想自己管理 PHP，可以考虑 WordPress 主机。

PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了 CVE-2026-109618 与 CVE-2026-109619 这两个可导致未经身份验证的远程代码执行的严重漏洞。

没有。PHP 的发布公告明确表示不存在完整的缓解措施，升级是唯一安全的选择。

PHP 8.1 及更早版本已不再获得 PHP 项目的常规更新。PHP 团队为 7.4、8.0 和 8.1 提供了最小化的源码回移补丁，部分发行版和 LTS 供应商也提供回移修复。请咨询您的供应商，或升级到受支持的版本。

据 Help Net Security 报道，Amazon Threat Intelligence 在 2026 年 10 月 17 日（公开披露前四天）记录到一次利用尝试。请将风险视为现实威胁，立即打补丁。

不确定网站运行的 PHP 版本，或不知道如何更新？欢迎联系 Edish 团队获取指引。