PHP开发团队于2026年10月21日正式发布紧急安全更新，修复了两项评定为严重级别且编号分别为CVE-2026-109618和CVE-2026-109619的严重安全漏洞。两项漏洞的CVSS v4.0评分均为9.2分，允许攻击者在无需身份验证的情况下通过构造特定网络请求触发内存损坏，进而执行恶意命令、窃取数据或扩大入侵范围。由于PHP广泛用于动态网页生成与数据库交互，包括WordPress等内容管理系统在内的底层环境均受波及。针对此事，WordPress官方明确指出该问题无法通过应用层更新解决，网站所有者必须直接更新服务器实际运行的PHP环境。

目前PHP团队已紧急发布了PHP 8.5.12、8.4.27、8.3.36和8.2.35等修复版本，并强烈建议运营者立即升级。由于本次事件对公共网络服务造成了实际压力，荷兰与芬兰等部分欧洲政府机构在补丁发布前甚至采取了主动关闭网站的预防性措施。对于仍在使用PHP 8.1及更早停售支持分支的用户，需向软件供应商确认是否有回溯补丁，或在无法及时修复时暂时限制外部访问以降低风险。