2026 年 10 月 21 日，PHP 官方正式发布紧急安全更新，修复两项严重安全漏洞：CVE-2026-109618 和 CVE-2026-109619。
两项漏洞的 CVSS v4.0 评分均为 9.2 分（严重），攻击者可能在未经身份验证的情况下，利用漏洞实现远程代码执行（RCE）。
一、漏洞详情及影响范围
本次 PHP 官方披露的两项漏洞分别为：
CVE-2026-109618：内存耗尽处理异常导致远程代码执行
PHP 在处理内存耗尽（OOM）异常时，可能导致部分内部请求数据未正确初始化，并在后续清理过程中被错误使用，进而产生远程代码执行风险。
CVE-2026-109619：全局状态残留导致远程代码执行
PHP 在处理请求时，部分内部状态可能在关联内存释放后继续保留。当同一工作进程处理后续请求时，可能错误使用这些失效数据，从而引发远程代码执行风险。
根据 PHP 官方公告，本次漏洞影响通过 PHP 处理 Web 请求的多种运行环境，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 及 LiteSpeed 等。
其中，PHP 官方认为 Apache mod_php 的风险尤其突出，已存在未经身份验证的请求在应用程序代码运行前触发漏洞的验证案例。
二、PHP 安全修复版本与宝塔更新情况
PHP 官方安全修复版本
10 月 21 日，PHP 官方发布以下安全修复版本。
PHP 分支 安全修复版本
PHP 8.2 8.2.35
PHP 8.3 8.3.36
PHP 8.4 8.4.27
PHP 8.5 8.5.12
以上版本均包含针对本次两项严重漏洞的安全修复。
旧版 PHP 修复版本
针对 PHP 7.4、8.0、8.1，PHP 官方仅在 GitHub 提供了本次漏洞的修复补丁，未发布对应的官方安装包。
PHP 分支 修复版本
PHP 7.4 7.4.34
PHP 8.0 8.0.31
PHP 8.1 8.1.35
以上三个版本需要用户自行获取补丁修复。
若您使用的是第三方管理面板请自行进入服务器管理面板后台更新PHP至对应版本即可。
强烈建议各位站长尽快更新！
