PHP 发布 CVE-2026-109618 与 CVE-2026-109619 紧急安全更新

2026 年 10 月 21 日，PHP 项目发布了针对两个严重漏洞的紧急更新，这些漏洞可能允许未经身份验证的攻击者通过处理网站流量的 PHP 服务运行代码。我们首次在最初的公开服务公告中提醒 WordPress 站点所有者安装这些更新。这些漏洞的跟踪编号为 CVE-2026-109618 和 CVE-2026-109619，二者的 CVSS v4.0 评分均为9.2 / 10。

这些并非 WordPress 核心、插件或主题中的漏洞，而是 WordPress 所使用的编程语言 PHP 中的漏洞。更新 WordPress 不会安装这些修复。在大多数共享托管和托管环境中，PHP 由托管服务提供商控制。自行管理服务器或容器的机构及站点所有者必须自行更新 PHP 软件包或镜像。

PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 包含这些修复。Linux 发行版及长期支持供应商可能会将相同的修复添加到版本号较旧的软件包中，因此完整的软件包修订版本和供应商的安全公告非常重要。更新后，请重启 PHP，使所有正在运行的进程都使用新代码。容器应基于更新后的镜像重新构建并重新部署。

Wordfence Threat Intelligence 团队审查了 PHP 的补丁，并在 PHP 和 WordPress 实验环境中测试了漏洞行为。本文记录了已确认的情况，分享了初步测试结果，并解释了这些漏洞对 WordPress 站点意味着什么。

主要要点

• 更新为你的网站提供服务的 PHP。更新 WordPress、插件或主题不会更新 PHP。
• 两个漏洞都可能允许在无需身份验证的情况下远程执行代码。攻击一旦成功，便可能访问与网站相同的文件、凭据和数据。
• 我们的测试证实风险确实存在，但攻击可能需要针对特定服务器进行调整。对于 CVE-2026-109619，我们在经过特殊配置的 PHP 实验环境中运行了确认可执行代码的概念验证测试；相比之下，同一概念验证测试仅使相同 PHP 版本的常规优化构建崩溃。
• 采用纵深防御。Wordfence Firewall 保护 WordPress 应用层。PHP、Web 服务器、操作系统和网络边缘也需要各自进行更新并采取安全控制措施。

等等，PHP 是什么？它与 WordPress 有什么关系？

PHP 是 WordPress 主要采用的编程语言。它运行在 Web 服务器上，通常由托管服务提供商安装和管理。更新 WordPress 不会更新 PHP。

Wordfence Firewall 利用 Wordfence Threat Intelligence 保护 WordPress 应用层。PHP、Web 服务器和操作系统运行在 WordPress 之外，需要各自进行更新并加以保护。确保 WordPress 站点安全，需要所有这些层协同工作。

关于风险，已确认了哪些情况

如果你的站点由受影响的 PHP 软件包提供服务，请将此次更新视为紧急事项。

成功利用漏洞后，攻击者将拥有与网站本身相同的访问权限。这可能足以读取数据库凭据、修改站点文件、窃取数据或安装持久化后门。

PHP 已确认这两个漏洞均存在远程代码执行问题。PHP 确认 CVE-2026-109618 的一条攻击路径可在 WordPress 启动前运行。CrowdStrike 还报告称，其私有漏洞利用在 Intel/AMD 和 Arm 系统上以及针对新重启的 PHP 工作进程时均能可靠运行。我们未独立测试该未公开的漏洞利用。攻击可能需要针对特定服务器进行调整，但这并不意味着未打补丁的服务器是安全的。

大量概念验证代码和评论已经在流传。其中一些很有用，但另一些则不完整、具有误导性或错误。站点所有者应依赖 PHP 官方公告并及时打补丁，而不是等待判断某个公开漏洞利用是否适用于自己的服务器。

这两个漏洞的作用

PHP 8.1 及更早版本不再获得 PHP 项目的发布更新。一些操作系统和长期支持供应商仍可能会添加这些修复。如果你使用较旧的分支，请向供应商获取明确答复，或迁移到受支持的 PHP 分支。

我们的初步测试发现

修复版本发布后数小时内，我们便开始测试，并继续研究其他攻击路径及其在常见 WordPress 托管环境中的可靠性。我们的目标是了解仍使用受影响 PHP 版本的客户所面临的实际风险。

在经过特殊配置的 PHP 8.5.11 Apache 实验环境中，CVE-2026-109619 针对 PHP 运行了概念验证漏洞利用测试，通过 HTTP 发送请求并创建了一个临时文本文件。这证明在该环境中可以执行代码。同一测试使正常优化构建的 PHP 8.5.11 崩溃，而不是运行代码；已修复的 PHP 8.5.12 则保持正常。

对于 CVE-2026-109618，存在漏洞的 PHP 8.5.11 测试失败，而已修复的 PHP 8.5.12 正常处理了相同的概念验证请求。在单独使用受影响的 Ubuntu PHP 8.5.4 软件包的 WordPress 7.1.3 测试中，特殊构造的请求在某些环境下导致 PHP 失败或重启。我们未能独立实现此 CVE 的代码执行。

现在已经明确的是，攻击在不同服务器上的行为可能有所不同，但不应认为未打补丁的服务器是安全的。安装已修复的 PHP 软件包并重启 PHP。

如何检查和更新你的站点

如果为你的网站提供服务的 PHP 服务早于修复版本，且你的供应商尚未确认已添加这些修复，请假定它受到影响。

在 WordPress 中，前往 工具 > 站点健康状况 > 信息 > 服务器，查看网站使用的 PHP 版本。不要仅依赖在命令提示符下输入的 php -v；服务器可能为网站使用不同的 PHP 版本。Linux 和托管供应商也可能在不更改主版本号的情况下添加安全修复，因此请向你的主机商或服务器管理员询问：

为我的站点提供服务的 PHP 是否已针对 CVE-2026-109618 和 CVE-2026-109619 打过补丁，并且是否已重启 PHP？

首批修复后的 PHP 版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。然后采取适用于你的步骤：

• 托管服务客户：请让主机商确认两个修复均已安装，并且 PHP 已重启。
• 自行管理的运维人员：更新 PHP，重启 Apache、PHP-FPM 或其他 PHP 服务，并使用更新后的镜像重建容器。
• 代理商和托管服务提供商：检查每个站点和环境，包括预发布站点、源站地址和旧容器，而不只是主要的公开站点。
• 更新后：在 Site Health 中验证网站的 PHP 版本，并与主机、操作系统包工具或镜像提供商确认完整的软件包修订版本。
• 保留备份和日志：作为预防措施，保留备份，并保存至少涵盖 10 月 21 日版本发布前 48 小时至 PHP 完成修补和重启期间的网络服务器、PHP、防火墙和系统日志。
• 审查延迟更新的情况：如果 PHP 未及时修补，请审查这些日志中是否有该站点通常不会出现的异常活动，并调查任何可疑之处。没有明显记录并不能证明未发生利用。

如果无法立即修补，请查看 PHP 的临时建议。这些建议可能减少特定攻击路径带来的暴露，但并不完整，可能会干扰网站正常功能，也无法取代更新。

Wordfence 的作用

Wordfence Firewall 使用 Wordfence Threat Intelligence 保护 WordPress 应用层。它可以拦截通用安全工具可能无法识别的 WordPress 专属攻击。

这些漏洞在服务器层面影响 PHP，某些攻击甚至可能在 WordPress 启动之前就已开始。因此，Wordfence 建议采用纵深防御：将 Wordfence Firewall 与及时更新，以及针对 PHP、网络服务器、操作系统和网络边缘的安全控制结合使用。对于这些漏洞，更新并重启 PHP 至关重要。

结论

CVE-2026-109618 和 CVE-2026-109619 是 PHP 中的缺陷，而 WordPress 运行在 PHP 之上。因此，如果背后的 PHP 服务未打补丁，即使 WordPress 安装已完全更新，仍可能面临风险。

安装已修复的 PHP 软件包，或安装已确认包含两项修复的供应商软件包。重启 PHP，使所有运行中的进程都使用新代码，并验证为网站提供服务的软件包。

Wordfence Care 和 Wordfence Response 客户如果认为站点可能已遭入侵，可以联系我们的事件响应团队。Wordfence Response 提供全天候服务，响应时间为一小时。

如果你认识负责管理 WordPress 站点的人，请分享本文，并请他们检查每个站点背后的 PHP 服务。

来源

• PHP 安全版本发布公告
• PHP 公告：CVE-2026-109618，通过内存外损坏实现远程代码执行
• PHP 公告：CVE-2026-109619，通过工作进程陈旧状态实现远程代码执行
• PHP 完整安全补丁
• Wordfence 最初的 PHP 安全更新 PSA
• CrowdStrike 的 PHP2Shell 研究和可移植性报告

文章《为何紧急更新 WordPress 站点上的 PHP：两个关键 PHP 漏洞及我们的测试发现》最初发布于 Wordfence。