如果您是科技行业的中小企业或自营职业者，为什么您应该关心
如果您的在线业务、电子商务商店或公司网站使用 PHP（超文本预处理器），那么接下来发生的事情将是您迫切关心的问题。 PHP 是 Web 开发中最常用的编程语言，存在于互联网上大约 70% 的网站中（apnews.com）。已发现两个高度严重的缺陷，CVSS（通用漏洞评分系统）v4.0 评分为 9.2，属于“严重”类别（gub.uy).
这些错误会影响基本的 PHP 核心功能，并允许攻击者无需身份验证即可执行远程代码。实际上，他们可以在您未及时发现的情况下访问您的服务器或修改您的内容。为此，PHP 基金会敦促立即应用补丁（apnews.com).
故障的背景和技术细节
官方公告于 2026 年 10 月 20 日发布，当时 PHP 安全团队警告称，将在下周二（世界标准时间 10 月 21 日 14:00）发布紧急更新，以解决被识别为 CVE-2026-109618 和 CVE-2026-109619 的缺陷（discourse.thephp.foundation）。在 CVSS v4.0 评分中，这两次失败的评分为 9.2 分（满分 10 分）（tenable.com)
CVE-2026-109618（OOM 损坏）：利用 PHP 处理内存不足错误的方式。后续清理可能会将不完整的数据解释为有效数据，从而导致内存损坏和恶意代码执行（tenable.com).
CVE-2026-109619（过时的全局状态）：这是释放后使用。工作人员可以重用先前请求中的全局状态残余，以在后续请求中执行恶意代码（zaproxy.org).
这些漏洞影响所有服务 Web 请求的安装：PHP-FPM、带有 mod_php 的 Apache、php-cgi、FrankenPHP、LiteSpeed 等（tenable.com）。该套件的非正式名称是 PHP2Shell（es.wikipedia.org).
对小企业和个体经营者的实际影响
利用此类缺陷，攻击者无需凭据即可在您的服务器上执行代码。这意味着他们可以插入后门、安装恶意软件、修改您的网站或窃取信息。问题的规模很广泛：许多网站，从标准门户网站到 WordPress、Drupal、PrestaShop 或 Moodle，都可能受到影响 gub.uy
CISA（美国网络安全机构）等组织已启动紧急警报来纠正这些漏洞，或者，如果无法做到这一点，则隔离受影响的系统，直到应用解决方案为止（content.govdelivery.com）。在欧洲和其他国家，多个国家的 CERT 已发布类似通知 elpais.com
保护您网站的建议步骤
我们建议采取以下步骤来最大限度地降低风险并恢复安全：
- 识别使用 PHP 的系统：检查可能运行易受攻击的 PHP 的服务器、托管和组件 content.govdelivery.com
- 更新补丁版本：修复bug的版本为PHP 8.5.12、8.4.27、8.3.36和8.2.35（content.govdelivery.com).
- 如果无法立即更新：暂时限制来自 Internet 的访问、使用 Web 应用程序防火墙 (WAF) 或专用网络，并监控可疑进程
- content.govdelivery.com
- 更新后重新启动服务：请务必重新启动 PHP-FPM、Apache 等，否则旧的二进制文件可能会继续运行 reddit.com。
- 监视可能的利用迹象：例如意外的 shell、未经授权的下载、文件修改或奇怪的行为 content.govdelivery.com
结论
PHP 中的这两个严重缺陷 - CVE-2026-109618 和 CVE-2026-109619 - 对任何暴露的网站构成真正的威胁。为了保证您的数字活动的连续性，必须优先考虑应用 2026 年 10 月 21 日起提供的官方补丁。在 CADT Software，我们可以帮助您检查环境、应用更新并增强 Web 应用程序的安全性。不要让未修补的漏洞危及您的项目，请联系我们以有效、快速地采取行动。
