PHP 官方这周做了件罕见的事，提前一天预告要发安全更新，修复两个九点二分的严重漏洞，发布时间精确到点，业内戏称请加班。小众软件二十一日做了报道，HN 上随之吵起另一个话题，网上的利用代码到底能不能打。我把官方公告、两份漏洞报告与发行版进度核了一遍，教学向的应对手册如下，结论先给，别研究利用了，直接升级。
漏洞是什么
两个编号，CVE-2026-109618 与 109619，都是未认证远程代码执行，评分各九点二。第一个出在内存超限处理，请求超过上限时 PHP 用长跳转中止，跳的时机可能落在内部数据只初始化一半的时候，清理阶段把无效数据当有效数据处理，可能释放含攻击者可控内容的未初始化内存。第二个是过期状态问题，请求的内部状态在内存释放后仍被残留，同一工作进程接的下一个请求在正常初始化前用上了这份旧状态。演示利用显示，单个未认证请求就能在应用代码运行前触发，前端不用有洞。
影响范围
受影响版本按分支列。八点五修到点一二，八点四要二七，剩下两条支持线是八点三的三六与八点二的三五，更老的已停维护分支同样中招。运行环境里，FPM、mod_php、CGI 方式全在列，官方特别点名 mod_php 风险最高，混进服务器模块层的那种部署要最先处理。两个维基站点在修复落地前预防性关站，官方社区的紧张程度可见一斑。生态面顺一句，全球的内容管理系统、商城、网盘、框架大半跑在 PHP 上，这也是官方罕见预警的分量所在。为什么提前预警，安全公告的细节在社交媒体提前泄露了，官方索性把发布时间提前，二十一日协调世界时十三点半修复落地，比预告还早了半小时。
运维手册三步
教学向给可执行的动作。查、升、重启。第一步，查版本，命令行一条查清当前版本号，对照上面的修复版本线，够线即安全。第二步，升级，发行版用户走包管理器，Ubuntu 二十四点零四的修复包已发，Debian 的安全公告同日落地，企业系发行版当日的第三方源没有更新，走官方渠道或自行编译，版本号以包管理器的版本为准，别拿上游数字硬对。第三步，重启，升级后必须完全重启 FPM 与 Apache 的工作进程，光换包不重启，旧进程还带着旧代码在跑，这一步漏掉等于白干。实在来不及升级的，官方给了临时缓解，锁死内存上限、调低请求体上限、关上传进度并重启，但官方原话说得明白，这些不算安全措施，升级是唯一安全选择。
关于网上的利用代码
HN 的热门帖值得一讲。有研究者发文称，仓库里数以千计的公开利用代码没有一个能打原生 PHP，全依赖目标先有本地文件包含漏洞，等于先有个洞再利用另一个洞，部分由大模型生成的代码还偷偷给测试服务器加洞。反方意见同样有分量，利用只需被开发一次就能人人复用，个人跑不通代码是弱证据，已有安全公司称在蜜罐里观察到了利用尝试，按自称口径听。两方合起来的结论不变，公开的武器还没成型，窗口期就是给你升级用的。
解决了什么需求
这堂课对三类人有各自的价值。运维拿到的是带版本号的清单与三步手册，照做即可。开发者顺带复习两个教训，内存管理与进程状态清理的老问题在脚本语言层同样致命。管理者的收获是预案意识，这次从预警到修复到发行版跟进全程不到两天，供应链这次响应算快，往后照这个标准要求就行。
一句收尾，漏洞的学术价值留给研究者，生产环境的正确答案只有一个，升级加重启，缺一不可。
来源
- 小众软件报道 https://www.appinn.com/php-critical-rce-vulnerability-2026/
- PHP 官方公告 https://www.php.net/archive/2026.php
- 漏洞报告一 https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- 漏洞报告二 https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- Ubuntu 公告 https://ubuntu.com/security/notices/USN-8948-1
- Debian 公告 https://lists.debian.org/debian-security-announce/2026/msg00489.html
- HN 讨论帖 https://news.ycombinator.com/item?id=50188948