10月21日，PHP 开发团队正式发布紧急安全更新，修复两个可能导致远程代码执行的严重漏洞。官方公布的修复版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，并敦促相关用户尽快升级。

这次漏洞事件已引发多国网站运营方采取应急措施。据路透社10月21日报道，荷兰、芬兰等地的部分政府机构及其他组织曾在补丁发布前临时关闭网站，以降低遭受攻击的风险。PHP 官方随后确认，修复版本已经发布。

两个漏洞均可能导致远程代码执行

根据 PHP 项目公开的安全公告，本次修复涉及两个严重漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619。两者均可能使攻击者在无需登录的情况下，在受影响的服务器上执行代码。

其中一个漏洞与 PHP 的内存分配失败处理机制有关。当程序在特定情况下发生内存不足错误时，异常退出流程可能导致请求内存状态损坏，后续请求清理过程可能利用已经处于异常状态的数据，从而形成远程代码执行风险。

另一个漏洞涉及底层内存释放后的全局状态残留问题。相关状态在所指向的内存已经释放后仍可能被使用，进而造成代码执行风险。PHP 官方已在本次安全更新中修复这两个问题。

PHP官方发布四个修复版本

此次更新覆盖 PHP 8.2 至 8.5 四个维护分支。网站运营者需要根据当前使用的版本选择对应更新，而不是统一安装最新的大版本。

• PHP 8.5： 升级至 8.5.12
• PHP 8.4： 升级至 8.4.27
• PHP 8.3： 升级至 8.3.36
• PHP 8.2： 升级至 8.2.35

以 PHP 8.5.12 为例，此次发布不仅修复上述两个安全漏洞，还包含覆盖 29 个组件的 90 项修复。更新涉及 Core、BCMath、DOM、CLI 等多个模块。

PHP 官方明确表示，目前没有能够完全替代升级的缓解措施，安装修复版本是应对此次漏洞的必要措施。此次风险涉及通过 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等方式处理 Web 请求的部署环境。官方指出，使用 Apache mod_php 的环境风险尤其值得关注，因为已有演示表明，攻击者可以在应用程序代码运行之前触发攻击。

WordPress等网站需要检查服务器PHP版本

PHP 广泛用于网站和 Web 应用开发，也是 WordPress、Drupal、Joomla、Magento 等系统的重要运行环境。路透社援引 W3Techs 的数据称，在能够识别服务器端编程语言的网站中，约 75% 使用 PHP；WordPress 则运行于约 43% 的全部网站。

对于使用上述系统的网站，更新网站程序本身并不一定能够修复服务器上的 PHP 漏洞。WordPress 安全服务商 Wordfence 也提醒，WordPress 自动更新机制不会自动完成这次 PHP 运行环境的安全升级，站长需要确认服务器 PHP 版本及具体升级责任方。

网站管理员应立即核实当前运行的 PHP 版本，并通过官方发布渠道或主机服务商安装相应修复版本。使用共享主机、面板托管或云服务器的网站，还需要确认实际处理 Web 请求的 PHP 运行环境是否已完成更新。

官方公告与补丁下载：

• PHP 官方安全公告：https://www.php.net/
• PHP 8.5.12 发布说明：https://www.php.net/releases/8_5_12.php
• PHP 8.5.12 更新详情及变更记录：https://php-net.pro/en/news/php-8-5-12-released-with-security-fixes