尊敬的各位客户：

2026年10月21日，PHP官方发布紧急安全更新，修复了PHP解释器内核中两个严重的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）。两个漏洞CVSS v4.0风险评分均高达9.2分（满分10分），属于最高级别的“严重”漏洞，国家信息安全漏洞共享平台（CNVD）已将其综合评级为“高危”。

该漏洞为PHP内核层原生缺陷，已在代码中潜伏超过十年。攻击者无需任何身份验证，仅通过构造特制HTTP请求即可触发内存破坏，进而在服务器上执行任意恶意代码，获取服务器控制权、窃取敏感数据或导致业务中断。目前漏洞利用原理已公开，全网已出现批量扫描与攻击尝试，实际风险极高。

一、漏洞影响范围

本次漏洞影响所有处理Web请求的PHP部署形态，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed等，其中Apache mod_php环境攻击成功率最高、风险最大。

漏洞为底层内核缺陷，与上层业务框架无关。无论使用WordPress、Laravel、Drupal、织梦、帝国CMS还是自研PHP系统，只要底层PHP解释器版本未修复，均存在被攻击风险。

（一）官方维护分支（有正式安全补丁）

（二）已停止维护分支（无官方正式补丁）

PHP 8.1、8.0、7.x、5.x全部分支均存在该漏洞。PHP官方已停止对这些版本的维护，不再发布官方安装包补丁，仅提供7.4至8.1的源码级移植补丁；7.3及更早版本连源码补丁都无官方支持，长期暴露在攻击风险中。

二、漏洞主要风险

1. 无认证远程攻击：攻击者无需账号密码、无需站点暴露特殊后台或接口，普通HTTP请求即可在业务代码执行前触发攻击。

2. 内核级通用漏洞：漏洞存在于PHP底层内核，仅升级CMS、框架或插件无法修复，必须升级PHP本身。

3. 攻击门槛极低：利用代码已公开扩散，自动化批量扫描攻击已在全网展开。

4. 危害后果严重：成功利用可直接获取PHP进程权限，进而导致数据泄露、网页篡改、服务器被植入木马、业务瘫痪等严重后果。

5. 临时防护不彻底：PHP官方明确说明，配置类临时方案（如关闭上传进度、WAF规则）仅能缩小攻击面，无法提供完整防护，升级到安全版本是唯一根治手段。

三、安全修复建议

1. 立即检查服务器PHP版本，确认是否处于受影响范围内。

2. 优先将PHP升级至对应分支的最新安全版本。

3. 升级完成后务必重启PHP-FPM、Apache等所有相关服务，确保残留旧进程完全退出，否则仍可被攻击。

4. 暂时无法完成升级的服务器，可采取临时防护措施并加强监控，但不能完全规避风险。

四、技术支持服务

为保障客户业务安全平稳，陕西中光电信高科技有限公司可提供专业的付费漏洞修复服务，涵盖PHP版本升级、环境适配、代码兼容性排查、安全加固等一站式处理，确保业务无中断过渡。

如需技术支持或服务咨询，请联系我们：

全国服务热线：400-086-8810

运维专线：15002932375

请广大客户高度重视此次漏洞风险，尽快完成修复工作，避免遭受安全攻击与业务损失。

陕西中光电信高科技有限公司
2026年10月23日