安全公告编号:CNTA-2026-0006
2026年10月21日，PHP官方修复并披露了两个高危远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619）。该漏洞存在PHP核心层，影响WordPress、Drupal、Joomla、Laravel等主流CMS和框架在内的PHP运行环境。未经身份验证的远程攻击者在特定条件下，可构造恶意HTTP请求触发内存错误，实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。
目前，漏洞技术细节与PoC已广泛传播，业界对此漏洞的RCE利用链正在开展进一步研究。CNVD建议PHP用户及时开展自查，关注官方信息，通过官方渠道及时更新升级至最新版本。