PHP 曝出两个 CVSS 9.2 严重漏洞：SiteGround 抢在官方发布前完成全网加固

最后更新：2026 年 10 月 21 日 11:30 UTC。PHP 官方安全版本发布后本文会继续更新。

PHP 官方公布了两个严重漏洞——CVE-2026-109618 和 CVE-2026-109619，两者在 CVSS v4.0 评分体系下都拿到了 9.2 分。PHP 安全团队将在 2026 年 10 月 21 日 14:00 UTC 发布安全版本，同时修复这两个问题。

按 W3Techs 的统计，PHP 在已知服务端语言的网站中占 69.3%——WordPress 站点也全都在这个盘子里。这意味着语言本身的漏洞，波及面远远超过某个插件或主题的 bug。

如果你的网站托管在 SiteGround，你现在已经处于保护状态。安全团队在官方版本发布之前就已在全部服务器上部署了防护措施，你不需要做任何事。

一眼看完要点

• 发生了什么：PHP 语言本身曝出两个严重漏洞，编号 CVE-2026-109618 与 CVE-2026-109619。
• 补丁什么时候到：PHP 官方安全版本定于 2026 年 10 月 21 日 14:00 UTC 发布。
• SiteGround 客户：已经在服务器层被保护，不需要更新、改设置、切 PHP 版本。
• 托管在其他地方的站点：官方修复版本一发布，立刻升级 PHP。

SiteGround 已经做了什么

在 PHP 官方发出提前通告之后，SiteGround 的安全团队评估了当时可获取的信息，并在所有 SiteGround 服务器上部署了服务器级别的缓解规则，把受影响的功能在所有支持的 PHP 版本上全部关闭。

你不需要更新任何东西，也不需要改 PHP 版本。作为托管平台，SiteGround 直接在服务器层处理，防护会自动应用到你的站点上。

为什么"抢在官方发布前动手"很关键

任何严重漏洞最危险的时间窗口，是细节公开之后的那一段——攻击者会开始扫描还没打补丁的服务器。SiteGround 在官方发布之前就完成了动作，等这个窗口打开时，服务器已经处在防护状态。发布之后团队会继续盯着，如果需要进一步动作，会跟着补上。

目前关于 CVE-2026-109618 和 CVE-2026-109619 的公开信息

PHP 是在 2026 年 10 月 20 日通过 php.net 的提前通告披露这次安全发布的。到目前为止，PHP 官方确认的信息有：

• 两个漏洞，都评为 Critical 级别，CVSS v4.0 评分 9.2；
• 安全版本定于 2026 年 10 月 21 日 14:00 UTC 发布；
• 完整的技术细节、受影响版本、修复版本会随安全通告一起公开。

漏洞的具体利用方式、影响哪些 PHP 版本，目前 PHP 还没公开。安全研究人员已经有一些早期报告在流传，但在官方通告出来之前，这些细节都算未经证实。等 PHP 发布正式公告之后，本文会补充。

如果你的 PHP 不跑在 SiteGround 上

如果你的 PHP 部署在其他主机商、自己的服务器、或者本地开发环境里，按 PHP 官方建议做——修复版本一发布就立刻升级。到 php.net 看正式的安全通告与已修复版本列表。

主动式安全，是设计出来的

SiteGround 之所以能抢在官方发布之前动手，靠的是平台本身的运行方式：

• 自建安全团队：安全专家 24 小时盯着各种漏洞披露，一有信息就评估新威胁。
• 工程师 24/7 待命：防护措施准备好就发出去，不用等下一个工作日开始。
• 完全托管的服务器环境：主机基础设施由 SiteGround 自己运维，所以防护可以一次覆盖全部服务器，不用等每个站长自己动。

同样的思路在今年早些时候已经用过两次：48 小时内零宕机修补 5 个 Linux 内核漏洞，以及不到 1 小时把平台上所有受影响的 WordPress 站点的 UpdraftPlus 全部升级。

不等新闻才动手的安全

SiteGround 大部分安全工作其实从来不会写到博客上。团队每天都在监控、打补丁、加固服务器，跟这个漏洞有没有上新闻没关系。这次之所以发一篇文章，是因为 PHP 底下压着太多网站。但整个响应流程和往常一样：尽早识别风险，在服务器层动手，让你的网站继续被保护，同时不往你的待办清单上加任何东西。

选 SiteGround 意味着这些事是他们的工作，不是你的。有问题可以随时找支持团队，24/7 都在。

常见问题

CVE-2026-109618 和 CVE-2026-109619 到底是什么？

这是 PHP 编程语言本身的两个严重漏洞，CVSS v4.0 评分都是 9.2。PHP 会在 2026 年 10 月 21 日 14:00 UTC 的安全版本发布时同时公布技术细节和已修复版本。

我的网站在 SiteGround 上，会受影响吗？

不需要任何操作。SiteGround 已在所有服务器上部署了防护措施，托管在平台上的站点在服务器层就已经被覆盖。

我需要升级 PHP 或者切换 PHP 版本吗？

不用。SiteGround 在服务器层统一管理 PHP，防护会自动应用到你的站点，你这边不需要改任何设置。

WordPress 站点会受 PHP 漏洞影响吗？

WordPress 跑在 PHP 上，所以 PHP 本身的漏洞可能影响到 WordPress 站点，跟你用什么插件或主题无关。在 SiteGround 上，你的 WordPress 站点已经在保护范围内。

如果我的网站托管在其他地方，应该怎么办？

联系你的主机商问清楚，或者自己盯着 php.net，修复版本一发布就立刻升级 PHP。