PHP 在发现两个 CVSS v4 评分均为 9.2 的漏洞后，正准备于2026年10月21日发布一项关键安全更新，两个漏洞均属于严重级别。PHP 基金会于10月20日宣布此次即将发布的更新，敦促用户做好立即更新的准备，并警告如果漏洞利用细节公开或出现活跃利用证据，修复程序可能提前发布。

此次发布定于 14:00 UTC，即英国夏令时 15:00。在 PHP 基金会发布声明的同时，英国的国家网络安全中心（NCSC）已敦促各机构排查易受攻击的系统，并在补丁发布后尽快应用。该机构表示，在无法及时修复的情况下，各机构应考虑将受影响的系统下线，直至风险得到缓解。

提前通告为管理员留出准备时间

PHP 基金会的提前预警旨在让管理员在安全修复程序发布之前有时间做好准备。由于发布时间可能被临时提前，准备工作不能等到补丁正式发布才开始。

PHP，即 PHP 超文本预处理器，是一种被广泛用于构建网站和 Web 应用的服务器端脚本语言。它处理后端逻辑、与数据库交互并生成动态内容，然后将页面发送到用户的浏览器。正是这种广泛应用使得 PHP 的安全对运营面向互联网的网站和应用的机构至关重要，因为该语言中的漏洞可能根据缺陷的性质及其可利用程度，暴露依赖它的系统。

NCSC 建议排查机构基础设施中所有运行 PHP 的系统，其中面向互联网的系统应优先处理，因为它们可以从机构外部直接访问。管理员还应监控这些系统是否存在可疑活动，并遵循 PHP 官方指引。该机构还建议持续关注其产品或服务中捆绑 PHP 的第三方供应商的更新动态。

PHP 基金会在 X 上发布了其提前通告：

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

此次更新可能对网站运营者产生的影响

此次计划中的发布为安全团队、托管服务提供商和应用运营者创造了一个即时的准备窗口。补丁发布后，管理员应评估受影响的系统并及时安装相应的更新。

PHP 基金会还警告依赖由志愿者维护的 Remi RPM 仓库的用户，发布当天该仓库不会提供更新。它建议切换到发行版软件包或从源码构建 PHP，以便立即应用修复。对于修补流程依赖该仓库的运营者而言，这一警告尤为重要，因为其快速更新的能力可能取决于事先安排好替代安装方式。

NCSC 还建议在无法立即修复时将系统下线。在管理员努力完成完整修复期间，这一预防措施可以减少暴露风险，尽管可能会影响网站的可用性。

对于运行基于 PHP 基础设施的加密货币企业、交易所和钱包提供商，同样适用这些准备原则。如果管理员在补丁发布后延迟修复，任何受影响的服务都可能面临安全风险。首要任务是做好准备，随后是快速修补和持续监控。

在安全更新发布及其技术细节公开之前，管理员应遵循 PHP 基金会和 NCSC 的官方指引，而不自行假设哪些系统存在漏洞。

本文基于 Blockonomi 的报道。