RecodeX 重构消息，2026年10月20日，PHP发布安全公告，确认存在两个可导致远程代码执行（RCE）的严重漏洞，编号为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2。CERT-EU及安全研究人员已跟进该披露。

目前官方尚未确认漏洞的技术细节、利用条件及受影响版本。第三方报告称PHP 5及更高版本可能受影响，但范围仍待核实。官方补丁尚未发布，预计安全更新将于10月21日14:00 UTC（北京时间22:00）推出。

安全机构建议企业审计服务器与业务系统中的PHP版本，优先排查面向互联网的服务，密切关注官方更新并及时打补丁；无法立即修复时，应限制对暴露PHP服务的访问或进行隔离。