机构
PHP Foundation
PHP 基金会发布的安全版本说明。
本版条目
调查
Wiz 披露 PHP 核心引擎 CVE-2026-109618/109619（CVSS 9.2），未认证远程代码执行与内存泄露
Wiz Research 于 10 月 21 日发布 PHP2Shell 调查，称在核心 PHP 引擎中发现与内存安全相关的多处问题，归入 CVE-2026-109618 与 CVE-2026-109619，官方 CVSS 均为 9.2；影响约自 PHP 5.4 至 8.5.11，可在未认证条件下导致远程代码执行或进程内存泄露，且漏洞位于引擎层、不依赖上层应用自身缺陷。PHP 项目同日发布 8.5.12、8.4.27、8.3.36、8.2.35 修复版，并明确不对已结束支持的 8.1 及更早版本回补。