PHP 两个 9.2 分漏洞进了 CISA 已利用清单：10 月 29 日是最后期限，站长先查版本
PHP 的两个高危漏洞进了 CISA 的“已知被利用漏洞”清单，联邦机构要在 10 月 29 日前修完。如果你手里有网站跑在 PHP 上，不管是不是联邦机构，这都是该立刻查版本的一周。
上图：PHP 两个 9.2 分漏洞已被列入 CISA 已利用清单，站长先查版本。
事情是这样的：PHP 在 10 月 21 日发布了 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，修了两个漏洞——CVE-2026-109618 和 CVE-2026-109619，PHP 官方都给了 CVSS v4.0 9.2 分（严重级）。前者是请求内存耗尽时触发的远程代码执行，后者是陈旧全局状态导致的释放后重用，同样能远程执行代码。两个都不需要登录就能打。
10 月 26 日，CISA 把这两个漏洞列入了 KEV（已知被利用漏洞目录），这意味着已经观测到真实的利用行为，联邦机构的修复截止日是 10 月 29 日。风险最高的是 Apache + mod_php 的组合：PHP 官方确认，那里已经有验证过的无认证利用，而且在应用代码执行之前就能触发。PHP-FPM、php-cgi、FrankenPHP、LiteSpeed 也都在影响范围内。
查版本要小心一个坑：php -v 显示的是命令行用的 PHP，不一定是网站跑的那个。正确做法是看网站实际跑的版本——建一个临时的 phpinfo() 页面确认，确认完立刻删掉这个文件，别留在服务器上。低于修复版本的就升级：8.5 分支升 8.5.12，8.4 升 8.4.27，8.3 升 8.3.36，8.2 升 8.2.35。8.1 及更早的版本官方不再发新版，安全组只提供了最小源码回补，发行版和 LTS 厂商会自己出修复包，实在升不了的先找发行版的更新。PHP 官方也给了临时缓解措施，但原话是缓解措施不是完整防护——升级才是正解。
本站跑的也是 PHP 8.3，站长刚按这个方法核过：服务器上装的是 Ubuntu 的 php8.3-fpm 8.3.6-0ubuntu0.24.04.13，更新日志里明确写着已打 CVE-2026-109618 / 109619 的回补补丁。版本号没变不等于没修——用发行版包的人，看发行版的安全公告才准，别只看 php -v 的数字。同样是这周的安全更新，Python 的紧急安全版也可以顺便看一眼。
相关阅读
信息来源：Rapid7：PHP 两个未授权远程代码执行漏洞的技术分析；PHP 官方安全公告（php.net）。修复版本号与 CVSS 评分以 PHP 官方公告为准。
发表评论