PHP安全团队提前发布紧急补丁，修复两个CVSS 9.2以上远程代码执行漏洞

据X News，PHP安全团队宣布对CVE-2026-109618和CVE-2026-109619两个漏洞发布紧急更新。两者CVSS评分均在9.2或以上，属于远程代码执行风险，影响PHP 5及以后的版本。

按X News的说法，由于漏洞细节已经外泄，团队把补丁时间提前，原计划在10月21日14:00 UTC发布。研究人员已分享名为“php2shell”的概念验证利用代码，与session.upload_progress处理程序中的堆释放后使用（use-after-free）问题有关。

在补丁到位前，部分管理员采取临时措施，例如关闭这项功能或让网站下线；CERT-EU建议隔离暴露在外的系统，直到补丁发布。X News称，由于PHP支撑着大量网站，从CMS到各类框架，尽快更新尤为重要，特别是仍在维护的分支。

以上为X News转述，PHP官方公告原文本社未见。