公告
- 星期三, 21街 十月, 2026
- 22:32下午
尊敬的客戶：
PHP 官方於 2026 年 10 月 21 日發布緊急安全更新，修復了兩個未經身份驗證即可利用的遠程代碼執行漏洞（CVSS 9.2）：
CVE-2026-109618：攻擊者可構造特殊的 multipart POST 請求耗盡內存觸發 OOM（內存溢出），在請求關閉階段導致內存破壞，最終以 Web 進程權限執行任意代碼。
CVE-2026-109619：PHP 工作進程跨請求殘留未重置的全局狀態，攻擊者可在同壹進程的兩個請求間構造堆布局，實現未授權的內存釋放後使用（UAF）與遠程代碼執行。
影響範圍： PHP 8.2 < 8.2.35、8.3 < 8.3.36、8.4 < 8.4.27、8.5 < 8.5.12，所有更早的 8.x 版本均受影響。
我們的處置情況：
✅ 所有托管型主機已完成人工升級更新
✅ 所有獨立服務器及非自托管環境已全部完成更新
✅ 您的站點在托管環境下無需任何操作，當前已受防護
需要您自行處理的情況：
如果您使用的是 VPS 或自托管環境、自行管理 PHP 版本，請盡快升級至以下安全版本：PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 或更高。升級前請務必備份數據。
日常使用安全提醒：
保持 CMS、插件及 PHP 環境及時更新
使用強密碼並開啟二次驗證
遵循最小權限原則，定期備份數據
如發現異常，請第壹時間聯系我們的支持團隊
如有任何疑問，歡迎隨時聯系我們。