IT之家 10 月 21 日报道，PHP 安全团队在昨天（10 月 20 日）发出声明，计划于协调世界时 10 月 21 日 14 点（对应北京时间 21 日 22 点）推出一次关键安全更新，以修复编号为 CVE-2026-109618 和 CVE-2026-109619 的两个高危漏洞。
依据官方公告，这两个漏洞在 CVSS v4.0 评分系统中均获得 9.2 分，被定性为“严重”级别；安全机构 watchTowr 确认，它们属于 PHP 中的零日远程代码执行（RCE）漏洞。IT之家附上相关截图如下：
一位网友在 10 月 20 日于 Hacker News 发帖称，有消息指出影响 PHP 5 及更高版本的两个 RCE 漏洞即将被公开，相关截图随后在 X 和 Mastodon 平台上传播，watchTowr 随后证实这些漏洞确实存在，但表示目前无法透露更多技术信息。
PHP 官方最初计划在 10 月 22 日解除信息限制，现决定将修复版本发布时间提前至 10 月 21 日 14:00 UTC。官方表示，如果漏洞细节进一步泄露或出现实际被利用的迹象，发布时间仍可能进一步前置。
目前没有公开证据表明这些漏洞已遭大规模利用，也未见官方提供可用的临时缓解方案。鉴于 PHP 是 WordPress、Drupal、Magento 以及众多共享主机服务的基础技术，网站管理员、云服务提供商及企业运维团队应尽快核查服务器上的 PHP 版本，并在补丁发布后立即进行升级。