PHP 高危 RCE 漏洞信息提前外泄，泄露人员公开致歉，官方紧急推出多版本安全补丁

本次 PHP 高危远程代码执行漏洞因信息提前外泄，打乱了原定的漏洞同步披露计划，漏洞信息流出之后，漏洞发布人员主动发布公开致歉声明，PHP 官方安全团队紧急调整工作计划，连夜完成多分支版本的安全更新打包，面向全网用户推送修复补丁，让全球大量使用 PHP 搭建网站的运维人员能够第一时间修补安全隐患，最大限度降低漏洞被恶意利用的概率。本次外泄事件打破了行业通用的漏洞协调披露规则，原本要等到补丁正式上线之后才对外公开的漏洞技术细节，提前在网络社区扩散，黑客群体可以快速对照漏洞细节编写攻击程序，直接提升了全网服务器面临的网络攻击风险。为了守住网络安全防线，开发团队不得不放弃原定发布时间，把补丁上线日期大幅提前，同时多国网络安全机构同步发布预警通知，督促企业与个人站长完成版本升级。

一、事件完整起因

1. 原定计划安排 PHP 安全团队原本设置了严格的保密窗口期，计划在补丁制作完成之后，统一对外公布 CVE 漏洞编号与技术细节，保障所有用户同步拿到修复程序，避免出现补丁还没发布、攻击手段已经满天飞的局面。本次涉及两个独立的 RCE 漏洞，编号分别为 CVE-2026-109618、CVE-2026-109619，两个漏洞的危险等级都达到 CVSS 9.2 高分，攻击者无需登录账号，仅发送特殊构造的网络请求就能实现远程代码执行，能够直接接管服务器权限。
2. 漏洞信息意外外泄 在正式披露窗口期到来之前，漏洞相关消息在技术论坛被提前发布，帖子短时间内被大量转发，即便发布者很快删除原文，文字内容、漏洞名称已经被全网留存，甚至出现了简易攻击演示文件，进一步放大了安全风险。
3. 当事人公开致歉 信息发布人员事后发布正式道歉内容，表示自己事前没有充分了解漏洞协调披露的保密约定，单纯出于提醒同行提前做好运维准备的善意发布消息，完全没有预料到会造成漏洞细节提前扩散，给 PHP 开发团队带来额外工作压力，也让全网网站陷入被动防御状态，对此次事件造成的不良影响表达歉意，愿意承担事件带来的相应后果。

二、官方应急处置步骤

1. 紧急调整发布排期 PHP 基金会立刻叫停原定披露流程，把多版本安全更新提前上线，不再等待原定发布日期，优先保障补丁先于攻击工具大范围传播之前推送到位。
2. 批量发布多分支补丁 官方一次性完成 4 个稳定分支的安全版本打包，覆盖目前仍在维护的全部主流版本：PHP 8.5.12、PHP 8.4.27、PHP 8.3.36、PHP 8.2.35，同时给已经停止维护的旧版本提供源代码级别的简易回补方案，方便自建编译环境的用户自行修补漏洞。
3. 同步发布漏洞技术公告 伴随补丁上线，官方同步发布漏洞原理说明，清晰写明两个漏洞的触发条件：一个是内存耗尽异常处理时出现数据初始化不全，造成内存损坏；另一个是请求全局变量内存释放后残留脏数据，触发释放后重用漏洞，两类缺陷都可以被用来实现无认证远程代码执行。
4. 联动全网安全机构发布预警 美国 CISA、NSA，英国 NCSC 以及国内 CNVD 等平台同步转发安全公告，提醒所有使用 PHP-FPM、Apache mod_php、php-cgi 等运行模式的服务器立刻开展升级操作，其中 mod_php 部署模式的风险等级最高，需要优先完成修复工作。

三、服务器运维实操操作清单

清单 1：先确认当前 PHP 版本

执行命令查看版本信息：

• Linux 服务器：php -v
• Windows 服务器：php.exe -v 核对当前版本是否落在受影响范围内，只要低于上述四个新版本，就必须执行升级操作。

清单 2：不同环境升级方案

1. 软件包管理安装（yum/apt）

• CentOS/RHEL：更新软件源之后执行 yum update php
• Debian/Ubuntu：执行 apt update && apt upgrade php

1. 源码编译部署 前往 PHP 官网下载对应分支新版本源码，重新编译替换原有程序文件，编译完成之后重启 PHP 服务。
2. 虚拟主机与面板环境 宝塔、cPanel 等运维面板，直接在软件管理页面一键升级 PHP 版本，升级完成后重启网站服务。

清单 3：临时应急防护手段（无法立刻升级时使用）

1. 在网站 WAF 防火墙添加规则，拦截异常超长 HTTP 请求；
2. 临时关闭对外公网访问，仅保留内网运维通道；
3. 开启服务器访问日志，持续监测是否存在异常代码执行行为；
4. 暂时关闭 PHP 程序的内存超限自动重试机制，减少 OOM 漏洞被触发的条件。

四、本次事件最终处理结果

漏洞泄露人员完成公开致歉，事件没有引发后续的法律纠纷；PHP 开发团队顺利完成全部版本补丁推送，没有出现补丁延期发布的情况；全球绝大多数网站管理员在预警发出后的 24 小时内完成版本升级，网络安全监测平台观测到的漏洞攻击尝试数量处于可控范围，没有出现大规模服务器被入侵的网络安全事故。本次事件也让整个网络安全行业更加重视漏洞协调披露制度，进一步强化保密窗口期内的信息管控，避免同类信息提前外泄问题再次发生。

【相关 FAQ】

问题 1：PHP 高危 RCE 漏洞信息提前外泄之后，官方推出了哪几个版本的安全更新？

回答 1：PHP 官方紧急发布了 4 个维护分支的安全更新，分别是 PHP 8.5.12、PHP 8.4.27、PHP 8.3.36、PHP 8.2.35，这几个新版本全部修复了本次提前外泄的两个远程代码执行漏洞，旧版本 PHP 8.1 及以下已经停止官方维护，只能使用源码补丁自行修补。

问题 2：PHP 高危 RCE 漏洞提前外泄，会给线上网站带来哪些直接风险？

回答 2：漏洞细节提前外泄后，黑客可以快速编写自动化攻击脚本，无需账号密码就能发起无认证远程代码执行攻击，一旦服务器没有及时打上补丁，攻击者可以直接读取网站数据、上传木马程序、接管整台服务器，其中采用 mod_php 运行模式的网站受到攻击的概率最高。

问题 3：遇到 PHP 高危 RCE 漏洞提前泄露这种突发情况，站长优先要做哪几件事？

回答 3：第一时间查看当前 PHP 版本，确认自身业务是否处在受影响范围；紧接着下载官方最新安全版本完成升级，升级完毕重启 PHP 与 Web 服务；暂时开启 WAF 防护规则拦截恶意请求；持续监控网站访问日志，排查异常入侵行为；在补丁完成前，必要时临时关闭公网网站访问，降低被攻击风险。

【参考资料】

[2026-10-25] PHP 漏洞泄露者公开道歉：不知情打破保密协议

[2026-10-25] 关于 PHP 远程代码执行漏洞分析及修复建议的安全公告

[2026-10-23] Security advisory: Critical remote code execution vulnerabilities, update now PHP

[2026-10-22] 全球 70% 网站一夜告急，详解 PHP 暴雷事件始末 36 氪

[2026-10-21] 两个 RCE 漏洞被提前泄露，紧急补丁提前发布 OSCHINA 开源社区

免责声明：本文仅客观梳理本次 PHP 漏洞信息外泄事件的全过程与官方安全处置方案，仅提供技术运维参考建议；所有服务器版本升级操作请以 PHP 官方发布的安全公告为准；任何因自行操作不当产生的系统故障、数据损失，本文不承担相应责任；文中漏洞相关内容仅用于网络安全防护学习，严禁用于非法入侵行为。