2026 年 10 月 20 日，PHP 安全团队发布事前公告，宣布预计 10 月 21 日 14:00 UTC （对应北京时间 10月21日 22:00）发布安全版本，修复两个严重漏洞CVE-2026-109618 和 CVE-2026-109619。

     关于漏洞的详情信息可以参考此文档：https://mp.weixin.qq.com/s/CBoGqz9fC3cEb_OrK90wlA

     针对合约期内的部署客户，Quick团队已在第一时间操作补丁更新；被攻击的概率降低。

     已完成服务合同，转由厂商自行维护代码的客户，建议重点关注此通用安全事件，并立即做出修复操作。

     官方漏洞地址

     CVE-2026-109618：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
     CVE-2026-109619：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
   

      厂商可以自行阅读官方文档进行操作。

      我们也做如下建议：

          1.php.ini 加入2个配置 session.upload_progress.enabled = Off memory_limit = -1 可以缓解掐断漏洞风险，注意php官方明确这不算修复漏洞，风险仍存在 

           2.升级php到8.4 ， 官方认为可以解决这2个漏洞 

           3.寻找一个靠谱的社区版5.4补丁，或自行开发5.4补丁，进行更新。