Rapid7 研究与公告· Rapid7·· 1 天前精选AI 评分90
PHP 修复 CVE-2026-109618 与 CVE-2026-109619 两个可致免认证 RCE 的漏洞
CVE-2026-109618 and CVE-2026-109619: Critical Unauthenticated Remote Code Execution in PHP
AI 导读
PHP 项目于 2026 年 10 月 21 日发布安全更新，修复 CVE-2026-109618（OOM 处理中的内存破坏）与 CVE-2026-109619（跨请求残留状态的 use-after-free），两者 CVSSv4 均为 9.2，可让攻击者以 Web worker 权限实现免认证 RCE。
为什么值得看
PHP 同时修复两个可导致免认证 RCE 的缺陷，通告给出了受影响版本区间、修复版本与临时缓解配置。
来源：Rapid7 研究与公告 · rapid7.com