PHP漏洞 — PHP超高危漏洞今晚10点修复，59.4%主机还在用旧版

今晚十点，PHP 要放大招。

PHP 安全团队将在 2026 年 10 月 21 日 22:00（国内时间）发布紧急安全更新，修复两个远程代码执行漏洞，评分均为 9.2 分。

PHP 这门开源服务端脚本语言用得有多广，不用我多说——大量网站、CMS 全靠它跑起来。所以这事儿影响面，真不小。

默认安装就能中招，细节还没公布

官方眼下没放漏洞细节。不过网上传的说法挺吓人：旧版 PHP 存在远程代码执行漏洞，默认安装配置就能触发。

什么意思？就是你什么都没改，也可能被打。

安全团队那边说，更新发出来之后建议所有人立刻升级到最新版，到时候受影响版本、修复版本和部分细节会一并公布。

话说回来，官方还补了一句：要是漏洞细节被提前捅出来，或者出现野外利用的证据，不排除提前发修复版本。老实讲，这句话我不太想看到。

只有 PHP 8 系列能拿到补丁

目前已知漏洞编号为 CVE-2026-109618 和 109619，两个评分都是 9.2 分。

但这里有个让人头疼的点：按修复计划，PHP 团队只为 PHP 8 系列提供安全更新。

至于旧版本有没有缓解方案……现在谁也说不好。

59.4% 的暴露主机，拿不到补丁

PHP 使用率极高，可很多站点还跑在早就停止支持的旧版本上。

网络空间观测数据显示，在 150 万个暴露的 PHP 主机中，约 59.4% 使用的是无法获取更新的旧版 PHP。

换算下来就是九十多万台机器。这个数字我看到之后很受震动。

补丁一放出来，核心漏洞往往很快被逆向分析出来，攻击脚本随后就会出现。从以往的经验来看，快的话是几小时，慢的话也就几天。

今晚十点之前，先做这几件事

• 时刻关注 22:00 的官方发布，如果能升级，就在第一时间升级。
• 还在跑 PHP 5.6 或 7.x 的，先评估能不能停机，必要时提前切到维护页面。
• WAF 先配上通用防护规则。别指望能全拦住，能拖时间就行。
• 把对外暴露的 phpinfo、调试接口和旧版 CMS 后台入口先限制起来，这一步花不了多少工夫，但很值。
• 升级前记得备份，不要升级完才发现扩展不兼容。

说句直白的：这次危害性极高，赌运气不是策略。

你可能想问的几个问题

9.2 分的漏洞评分意味着什么？

属于超高危区间，通常意味着攻击门槛低、影响范围广、后果严重。远程代码执行基本相当于服务器被接管。

PHP 5.6 和 7.x 还能继续用吗？

能用，但拿不到官方安全更新。实际上从现在起就得考虑迁移，或者靠隔离、WAF、最小权限这些手段来防护。

升级到 PHP 8 会不会让网站报错？

有可能。老插件、老主题、废弃函数都可能出问题。建议先在测试环境跑一遍，再改动生产环境。

你现在还有几台机器运行着旧版 PHP？欢迎在评论区说一下数量，我想看看有多少人情况相同。

觉得有用就收藏一下，今晚十点我也大概率会关注更新发布。