随着利用代码在网上公开，PHP官方已正式发布针对两项关键安全漏洞的修复补丁。这两项漏洞编号分别为CVE-2026-109618和CVE-2026-109619，CVSS评分高达9.2，属于“严重”级别，均允许未经身份验证的远程代码执行（RCE）。
PHP作为支撑全球数百万网站运行的服务器端编程语言，其安全性至关重要。早在10月20日，PHP基金会便发布公告预警，敦促各组织准备修补。该警告紧随一款名为“PHP2Shell”的攻击工具投入使用及相关操作视频曝光之后。
如何修补PHP漏洞
根据PHP基金会公告，用户必须将PHP升级至8.5.12、8.4.27、8.3.36或8.2.35版本。Windows源代码、二进制文件及Linux发行版补丁均可通过基金会下载页面或各自供应商获取。长期支持（LTS）供应商已提前获得补丁访问权限。
值得注意的是，PHP 8.1及更早版本已停止支持。使用这些版本的管理员需联系供应商咨询潜在的后向移植修复方案，或直接升级至受支持版本。
网络安全行业拉响警报
鉴于漏洞正在被积极利用，全球多家安全机构发布紧急警报。CERT-EU指出，受影响范围可能涵盖自2004年发布的PHP 5起的所有版本，凸显了威胁的广泛性。网络安全公司watchTowr也重申了这一风险。
对于无法立即打补丁的组织，CERT-EU建议“在应用修复程序之前，将面向互联网的应用程序与公共网络隔离”。英国国家网络安全中心（NCSC）同样建议，若无法即时补救，应考虑将系统下线直至风险完全缓解。
ESET全球网络安全顾问Jake Moore表示，PHP构成了互联网的底层基础，其庞大规模使得此次漏洞比常规利用更为严峻。攻击者凭借泄露的代码获得了“巨大的先发优势”，企业应立即识别易受攻击系统并完成修补，以减轻潜在损害。