PHP 今晚要发安全更新，一次修两个 critical 漏洞，官方给的 CVSS v4.0 都是 9.2。发布时间是 10 月 21 日 14:00 UTC… · @ScarletKc · TwKit

@ScarletKc

PHP 今晚要发安全更新，一次修两个 critical 漏洞，官方给的 CVSS v4.0 都是 9.2。发布时间是 10 月 21 日 14:00 UTC，北京时间 22:00。官方还说，如果细节提前泄露或者出现在野利用，可能会提前发。 安全公司 watchTowr 给出的编号是 CVE-2026-109618 和 CVE-2026-109619，他们说两个都是 RCE，而且已经复现了第一个。技术细节还没公开，具体影响哪些版本、修复版本号是多少，都要等今晚官方发布才知道。 网上传的 CVSS 10.0、PHP 5.4 以后全版本受影响这些说法，目前都来自泄露的消息，官方还没确认。流传的一些临时改配置的办法也是在细节公开前推测的，先别急着照着改。 比较麻烦的是，PHP 8.1 及以前的版本已经停止维护，就算受影响官方也不会出补丁。而且这是 PHP 运行时本身的问题，改网站代码修不了。 有服务器的话，现在可以先看一下哪些机器在跑 PHP、跑的是什么版本。很多 VPS 上挂着以前搭的 WordPress 之类的站，自己可能都忘了。还在用老版本的，最好早点规划升级。 今晚补丁出来后我会在下面补上修复版本。

曝光 173 · 评论 0 · 点赞 3 · 书签 1