【安全漏洞】关于 PHP 严重安全漏洞的预警及更新通知

尊敬的宝塔用户：

2026 年 10 月 20 日，PHP 官方发布紧急安全预告，确认即将发布安全更新，以修复两项严重安全漏洞。两项漏洞的 CVSS v4.0 评分均为 9.2 分，严重等级为 Critical（严重）。

根据 PHP 官方公告，修复版本计划于北京时间 2026 年 10 月 21 日 22:00发布。如漏洞细节提前公开或发现漏洞已被实际利用，官方可能提前发布安全更新。

宝塔已关注到本次安全事件，将持续跟进 PHP 官方修复进展，并在修复版本发布后同步跟进更新。

一、漏洞基本情况

目前，PHP 官方已确认以下信息：
漏洞数量：2 个
漏洞等级：严重（Critical）
CVSS 评分：均为 9.2（CVSS v4.0）
计划修复时间：2026 年 10 月 21 日 22:00（北京时间）
影响版本：暂未公布
漏洞详情：暂未公布

根据 CERT-EU、watchTowr 等安全机构披露的信息，本次事件可能涉及远程代码执行（RCE）风险，相关漏洞编号为 CVE-2026-109618、CVE-2026-109619。

部分安全机构认为，受影响范围可能涉及多个 PHP 历史版本。

需要注意的是，目前 PHP 官方尚未公布具体漏洞成因、利用条件及受影响版本，上述第三方信息仍需等待官方进一步确认。

由于 PHP 广泛应用于各类网站及 Web 应用，建议使用 PHP 运行环境的用户高度关注本次安全更新，提前做好排查与升级准备。

二、安全防护建议

在 PHP 官方修复版本正式发布前，宝塔建议广大用户采取以下措施：
1. 排查 PHP 版本
登录宝塔面板，通过「软件商店」查看已安装的 PHP 版本，并检查各网站实际使用的 PHP 运行环境。
2. 关注旧版本 PHP 风险
对于已停止官方安全维护的 PHP 版本，建议尽快评估升级可行性。此类版本可能无法获得官方安全补丁，继续使用将面临潜在的安全风险。
3. 提前备份业务数据
建议提前备份网站文件、数据库及相关配置。对于生产环境，应在确认程序及扩展兼容性后安排升级，避免影响正常业务。
4. 加强服务器安全防护
建议关注网站访问日志、异常进程及安全告警，及时排查可疑请求与异常文件变更。对于暂时无法升级的高风险业务，可根据实际情况采取访问限制等临时防护措施。

三、宝塔更新安排

宝塔将在 PHP 官方安全修复版本发布后，同步跟进相关 PHP 版本更新。

用户可通过宝塔面板「软件商店」关注对应 PHP 版本的更新情况，待更新可用后及时完成升级。

对于已停止官方维护的 PHP 版本，建议优先考虑迁移至仍处于安全支持期的版本。具体修复版本及更新方式以 PHP 官方和宝塔后续发布的信息为准。

宝塔将持续关注本次漏洞的最新进展，为广大用户提供相应的安全更新支持。

请广大用户提前做好相关准备，及时关注后续安全公告，保障网站及服务器业务安全稳定运行。

感谢大家一直以来对宝塔的支持与信任！

宝塔面板团队
2026 年 10 月 21 日