PHP 安全团队于 10 月 20 日发布预告，将在 10 月 21 日（周三）14:00 UTC 发布安全更新，修复两个严重漏洞，二者的 CVSS v4.0 评分均为 9.2。官方公告没有披露技术细节。安全公司 watchTowr 对 BleepingComputer 表示，这两个漏洞是远程代码执行（RCE）漏洞，相关信息已在原定披露前泄露。PHP 被大量网站和 Web 应用使用，包括内容管理系统、电商平台和定制 Web 服务，管理员需要提前准备。
PHP 安全团队在 php.net 公告和 php.announce 邮件列表中称，本次发布将修复两个严重漏洞，并鼓励所有 PHP 用户现在就做好准备，以便更新一发布就能升级。
团队同时表示，如果任一漏洞的细节提前公开，或出现在野利用的证据，保留提前发布的权利。受影响版本、修复版本和完整细节，将随更新一同公布。
据 BleepingComputer 报道，watchTowr CEO Benjamin Harris 称，这两个漏洞的编号为 CVE-2026-109618 和 CVE-2026-109619，均为 RCE 漏洞，CVSS 评分均为 10，据信影响 PHP 5、6、7、8。他还说，这两个漏洞原定在美东时间周四上午 11 点解除禁运，但相关信息已经泄露。
watchTowr 称，相信已成功复现 CVE-2026-109618，但在补丁发布前不会公开技术细节，并称目前没有观察到在野利用。
BleepingComputer 还提到，Hacker News 上一则已删除的帖子（用户名 petecooper）称，两个漏洞将于 10 月 22 日披露，评分均为 10.0，影响可追溯到 PHP 5。该帖给出的 CVE 编号与 watchTowr 一致。
不过，watchTowr 和这则帖子给出的 10 分评分，与 PHP 官方的 9.2 分不同；watchTowr 提到的周四披露时间，也与官方宣布的周三发布不同。受影响版本范围目前来自 watchTowr 等第三方的说法，PHP 官方尚未确认。
CERT-EU 于 10 月 21 日发布安全通告 2026-018，称目前没有 CVE-2026-109618 和 CVE-2026-109619 的技术细节。通告称，9.2 的评分表明可能存在未认证的远程代码执行，并称这些漏洞可能影响 PHP 5 及之后的所有版本。
CERT-EU 建议各机构梳理基于 PHP 的应用，在修复版本发布后立即修补。无法立即修补时，可考虑把面向互联网的应用与公网隔离，直到修复发布。
