2026年10月21日，PHP官方公开修复并披露两个高危远程代码执行漏洞CVE-2026-109618、CVE-2026-109619。利用上述漏洞，攻击者在特定条件下无需身份认证，即可利用漏洞实现远程代码执行，甚至获取服务器控制权限。目前，已监测发现上述漏洞在野利用。

上述漏洞存在PHP核心层，影响WordPress、Drupal、Joomla、Laravel等主流CMS和框架在内的PHP运行环境，大量使用 PHP 架构的网站受到影响。目前，PHP官方已发布漏洞修复版本（https://www.php.net/archive/2026.php#2026-10-21-5）。

为防范相关风险，请相关单位排查使用PHP 架构的网站情况，及时将PHP 升级或替换为官方发布的修复版本。同时加强网络安全监测，及时排查并处置网络攻击事件，重要情况及时报我中心。