①

10 月 21 日晚间，PHP 安全团队披露两个高危远程代码执行漏洞 CVE-2026-109618、CVE-2026-109619，CVSS 评分 9.2，风险等级严重。

到底有多严重呢？

连特朗普的小迷妹高市早苗都特意发了一条紧急提醒：

②

PHP 官网表示，

所有处理网络请求的 PHP 安装，包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 以及 LiteSpeed。我们认为 mod_php 的风险最高，且已证实存在漏洞利用方式：未经过身份验证的请求可在任何应用代码运行前触发攻击。

漏洞可被攻击者通过特制 POST 请求，在无需账号密码的情况下远程执行代码、接管服务器。

其中 CVE-2026-109618 为内存耗尽场景下的内存破坏漏洞，CVE-2026-109619 属于释放后使用漏洞，跨请求生命周期触发。

受影响版本包括 PHP8.2、8.3、8.4、8.5 分支旧版，官方当晚紧急推送修复补丁。

因漏洞细节提前泄露，多国网络安全机构同步发布预警。

运维人员需尽快升级至对应安全版本。如果短期内无法升级的业务，可拦截畸形 multipart POST 请求，必要时临时关停网站降低被入侵风险。

③

OpenAI 官方昨晚也发帖说 GPT 模型（GPT 5.6 Sol）帮白帽黑客发现了关键漏洞：

不过有开发者补充，最初的发现和漏洞利用开发，实际上是几个月前由一位独立研究人员完成的。

④ 网友热议

除了 OpenAI，其实谷歌旗下的 Wiz 团队也发现了这两个漏洞。

（参考：X、PHP，本文经由 AI 优化）


文章原文