PHP维护团队发布紧急更新，修复CVE-2026-109618和CVE-2026-109619。两处漏洞的严重程度评分均为9.2分，满分为10分。处理网页请求的PHP服务器可能受影响，包括一些仍在运行旧版本的网站。研究人员指出，攻击者在特定条件下可能远程执行代码，或读取进程内存。内存里可能留有密码、访问令牌和其他敏感信息。完整技术细节公布前，已有机构报告看到早期攻击尝试。
站长现在要确认的不是网站首页是否还能打开，而是服务器实际运行哪个PHP版本、由谁负责升级，以及所用发行版是否已有对应补丁。给WordPress或其他应用安装更新，并不会自动更新其下方的PHP运行环境。官方持续支持的版本从PHP 8.2开始；更老的安装需要查找供应商提供的修复，或安排迁移。若短时间内无法完成更新，安全团队建议暂时把受影响的服务与公网隔离。漏洞传播范围可能很广，但不能据此断言所有网站已经遭到入侵。是否受影响仍取决于具体配置、版本和攻击是否成功。对机构而言，先完成资产清点，再验证补丁部署，比转发夸张的灾难标题更有价值。
对企业来说，清点范围应覆盖正式网站、测试环境、遗留管理后台以及供应商维护的服务。相同的网站应用可能在不同服务器上使用不同PHP版本，因此只检查公开页面并不够。管理员还要留意缓存和负载均衡后面的机器是否全部完成升级。更新后可通过版本清单和部署记录确认补丁生效，并关注异常访问日志。网络防火墙的临时规则可以争取时间，但不能代替修复根因。对于没有官方支持的旧版本，应向发行版或托管商确认是否存在回移补丁；若没有，尽早迁移比长期依赖侥幸更可靠。对普通读者而言，这是一条应由网站运营方处理的安全通知，不意味着访问任意PHP页面就会让自己的设备自动中毒。
此次公告还提醒管理员区分安全公告的发布时间与补丁真正部署的时间。安装更新之后，应重新启动相关服务、确认运行进程加载了新版本，并查看异常请求是否仍在发生。若依赖托管平台，可要求对方提供明确的版本信息和完成时间，而不是接受含糊的“已处理”答复。涉及客户数据的站点还应检查事前日志，判断补丁发布前是否已有可疑行为。