公告信息
- 星期三, 21日 十月, 2026
- 22:32下午
尊敬的客户：
PHP 官方于 2026 年 10 月 21 日发布紧急安全更新，修复了两个未经身份验证即可利用的远程代码执行漏洞（CVSS 9.2）：
- CVE-2026-109618：攻击者可构造特殊的 multipart POST 请求耗尽内存触发 OOM（内存溢出），在请求关闭阶段导致内存破坏，最终以 Web 进程权限执行任意代码。
- CVE-2026-109619：PHP 工作进程跨请求残留未重置的全局状态，攻击者可在同一进程的两个请求间构造堆布局，实现未授权的内存释放后使用（UAF）与远程代码执行。
影响范围： PHP 8.2 < 8.2.35、8.3 < 8.3.36、8.4 < 8.4.27、8.5 < 8.5.12，所有更早的 8.x 版本均受影响。
我们的处置情况：
- ✅ 所有托管型主机已完成人工升级更新
- ✅ 所有独立服务器及非自托管环境已全部完成更新
- ✅ 您的站点在托管环境下无需任何操作，当前已受防护
需要您自行处理的情况：
如果您使用的是 VPS 或自托管环境、自行管理 PHP 版本，请尽快升级至以下安全版本：PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 或更高。升级前请务必备份数据。
日常使用安全提醒：
- 保持 CMS、插件及 PHP 环境及时更新
- 使用强密码并开启二次验证
- 遵循最小权限原则，定期备份数据
- 如发现异常，请第一时间联系我们的支持团队
如有任何疑问，欢迎随时联系我们。