接有关部门通报，PHP官方于10月21日披露并修复两项严重远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），CVSS 4.0评分均为9.2。未经身份验证的攻击者可通过构造HTTP请求触发，造成Web工作进程崩溃、进程内存信息泄露，甚至以Web服务进程权限执行任意代码。目前官方已发布安全更新。
为防范相关风险，请相关单位排查PHP环境使用情况，摸清版本底数与互联网暴露面，及时修补漏洞，重点关注对外提供服务的Web服务器、共享主机及控制面板CMS环境。同时加强网络安全监测，关注PHP工作进程异常退出、Web服务器崩溃日志及异常子进程、异常文件写入，保留相关日志。如发生网络和数据安全事件，各单位应按照教育系统网络和数据安全事件应急预案要求，及时报告并采取有效措施将负面影响降到最低。