金雨科技关于 PHP 严重远程代码执行漏洞的客户端安全提示

各客户及合作伙伴：

2026年10月21日，PHP 官方发布紧急安全更新，修复两个严重漏洞（CVE-2026-109618、CVE-2026-109619）。该漏洞可导致未授权远程代码执行，影响所有对外提供 Web 服务的 PHP 环境。

一、影响范围

PHP 8.2 / 8.3 / 8.4 / 8.5 未升级到修复版本的系统

PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等部署方式

WordPress、商城系统、OA、门户、小程序后台等 PHP 应用

容器、面板、虚拟主机、内嵌 PHP 的设备和第三方系统

二、官方修复版本

PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

PHP 8.1 及更早版本已停止官方维护，需由操作系统/面板厂商提供补丁或安排升级。

三、建议动作

盘点所有站点、后台、接口、容器、面板是否使用 PHP

升级到修复版本，并重启相关服务/容器

以实际 Web SAPI 版本为准，不以命令行 php -v 单独判断

升级后核查日志、新增文件、异常账号与外连行为

暂时无法升级的互联网系统，应考虑限访问或临时下线

四、金雨科技客户说明

我方托管/运维客户：我们将主动核查并在客户授权下协助升级。

自维护客户：可联系我们获取《PHP 漏洞自查与升级清单》。