PHP 在發現兩個 CVSS v4 評分均為 9.2、屬關鍵嚴重等級的漏洞後，正準備於 2026 年 10 月 21 日發布關鍵安全更新。PHP Foundation 於 10 月 20 日宣布此次即將到來的發布，呼籲使用者準備立即更新，並警告若漏洞細節公開或出現實際攻擊證據，修復可能提前發布。

此次發布定於 14:00 UTC，相當於英國夏令時間 15:00。在 PHP Foundation 宣布的同時，英國的國家網路安全中心（NCSC）已呼籲各組織識別受影響的系統，並準備在修補程式發布後儘快套用。該機構表示，若無法及時完成修復，組織應考慮讓受影響系統離線，直到風險得以緩解。

預先通知為管理員提供準備時間

PHP Foundation 的預先警告旨在讓管理員在安全修復發布前有時間做好準備。由於發布時間可能在短時間內提前，準備工作不能等到修補程式正式公布才開始。

PHP，即 PHP Hypertext Preprocessor，是一種廣泛用於建立網站與網路應用程式的伺服器端腳本語言。它處理後端邏輯、與資料庫互動，並在將頁面傳送至使用者瀏覽器前生成動態內容。正因應用廣泛，對於營運對外網站與應用程式的組織而言，PHP 安全性至關重要，因為該言中的漏洞可能會暴露依賴它的系統，具體風險取決於缺陷的性質及其可利用程度。

NCSC 建議識別組織基礎架構中所有執行 PHP 的系統，其中對外開放的系統應優先處理，因為它們可從組織外部直接存取。管理員也應監控這些系統的可疑活動，並遵循 PHP 官方指引。該機構進一步建議持續關注其產品或服務中捆綁 PHP 的第三方供應商的更新資訊。

PHP Foundation 在 X 上發布了預先通知：

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

此次更新可能如何影響網站營運者

此次計畫中的發布為安全團隊、主機供應商與應用程式營運者創造了立即的準備窗口。修補程式發布後，管理員應評估受影響的系統並儘快安裝相應更新。

PHP Foundation 也警告依賴志願維護的 Remi RPM 儲存庫的使用者，發布當日該儲存庫不會提供更新。它建議改用發行版套件或從原始碼建置 PHP，以立即套用修復。對於修補流程依賴該儲存庫的營運者而言，這項警告至關重要，因為其能否快速更新，可能取決於是否事先安排好替代安裝方式。

NCSC 另建議在無法立即完成修復時讓系統離線。此預防措施可在管理員著手完整修復期間降低暴露風險，但可能影響網站可用性。

對於執行 PHP 基礎架構的加密貨幣企業、交易所與錢包供應商而言，同樣的準備原則亦適用。若管理員在修補程式發布後延遲修復，任何受影響的服務都可能面臨安全風險。首要之務是做好準備，隨後快速修補並持續監控。

在安全更新發布且技術細節公開之前，管理員應遵循 PHP Foundation 與 NCSC 的官方指引，而非自行假設哪些系統存在漏洞。

本文基於 Blockonomi 的報導。