PHP将在约12小时内发布两个高危漏洞补丁，严重性评分均为9.2

据Slashdot援引Ars Technica报道，PHP维护团队周一宣布，计划在约12小时内发布两个漏洞的修复补丁，两个漏洞的严重性评分均为9.2分（满分10分），并建议所有PHP用户提前做好准备，以便补丁发布后立即升级。

维护团队在公告中表示，如果任一漏洞的细节被公开，或出现漏洞已被实际利用的证据，团队保留提前发布补丁的权利。该公告发布于相关细节疑似泄露之后，泄露内容尚未得到证实。

据安全公司watchTowr介绍，泄露的报告声称漏洞影响自2004年发布的PHP 5以来的所有PHP版本。watchTowr表示，已确认这两个漏洞真实存在，编号分别为CVE-2026-109618和CVE-2026-109619。报道称，找到该未经证实的报告原文的尝试未能成功。

泄露材料中包含一段视频，展示一个名为PHP2Shell的利用工具在运行PHP的服务器上执行代码，涉及WordPress 7.1.3、MediaWiki 1.46.2、phpBB 3.3.17、Magento 2.4.9、Joomla 6.2.0、Laravel 13.36.0、Laravel 8.83.29、Symfony 8.1.9、Drupal 11.4.10和WHMCS 9.0.9等应用。

安全公司Sansec的研究人员表示，预计补丁发布后15分钟内就会出现大规模攻击。另一家安全公司Webfence同样敦促管理员立即着手准备。Huntress也已发布安全通告。

PHP是广泛用于网站和Web应用开发的编程语言。此次补丁从公告到发布仅约12小时，留给管理员测试和部署升级的时间有限。