#coordinated disclosure

PHP 项目发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个可导致未认证远程代码执行的漏洞 CVE-2026-109618 与 CVE-2026-109619，CVSS 4.0 评分均为 9.2。公告称所有处理 Web 请求的 PHP 部署都受影响，包括 PHP-FPM、Apache mod\php、php-cgi、FrankenPHP 和 LiteSpeed，其中 mod\php 风险最高，已有未认证请求在应用代码运行前触发攻击的演示。官方只为仍受支持的 8.2 至 8.5 分支提供更新；8.1 及更早版本已停止常规维护，但项目为 7.4、8.0 和 8.1 提供了供回移使用的最小源码补丁，并称 Linux 发行版已提前收到补丁。PHP 基金会表示，两个 CVE 编号及一个错误的 10.0 评分提前外泄，报告方又误发了 PoC 视频，促使发布提前并加速了利用代码传播。