PHP 8.2.35 發布修復兩個可導致遠端程式碼執行的嚴重漏洞

PHP 開發團隊緊急發布 PHP 8.2.35，修復了兩個允許未經身分驗證的遠端程式碼執行（RCE）的關鍵安全漏洞。官方強烈建議所有 PHP 8.2 使用者立即更新，因為目前沒有完整的緩解措施，升級是唯一安全的選擇。

AI 新聞雷達編輯團隊·本站收錄：2026/10/22 04:23（台灣時間）·閱讀約 2 分鐘

本站收錄時間為新聞雷達完成整理的時間，不代表事件發生時間。原文日期僅在取得明確來源證據時顯示；未標示者請參閱下方原始來源。

30 秒掌握

此次更新修復了編號為 CVE-2026-109618 與 CVE-2026-109619 的兩個嚴重漏洞，攻擊者無需身分驗證即可執行遠端程式碼。

PHP 8.2 將於 2026 年 12 月 31 日終止支援（EOL），屆時將不再獲得任何安全修復，使用者需規劃升級至受支援的版本。

社群討論指出此漏洞發現可能與 Wiz、Calif 和 OpenAI 的協調揭露有關，且可能有影響最新 PHP 8.5.12 版本的新漏洞正在傳聞中。

緊急安全修復與無緩解措施現況

PHP 開發團隊於 10 月 21 日宣布 PHP 8.2.35 立即可用，這是一個安全性發布版本。該版本修復了兩個關鍵漏洞（CVE-2026-109618 和 CVE-2026-109619），這些漏洞允許未經身分驗證的遠端程式碼執行。

官方明確指出目前沒有完整的緩解措施，因此更新是唯一安全的選擇。所有 PHP 8.2 使用者都被強烈建議立即進行更新，詳細資訊可參考官方的安全公告。

PHP 8.2 將於 2026 年 12 月 31 日達到生命週期結束（End of Life, EOL）。在此日期之後，PHP 8.2 將不會再收到任何進一步的安全修復。

開發團隊提醒使用者必須規劃升級到受支援的版本，以確保系統持續獲得安全維護。目前 PHP 8.2.35 的原始碼下載、Windows 原始碼及二進位檔均可在官方下載頁面取得，變更記錄則詳列於 ChangeLog 中。

技術社群討論指出，這次漏洞揭露似乎是由 Wiz、Calif 和 OpenAI 之間協調進行的。相關連結指向 php2shell.com、Wiz 部落格以及 Calif 和 OpenAI 的官方頁面，顯示這可能是一次跨機構的安全研究合作成果。

此外，有社群成員提到可能存在另一個影響最新 PHP 8.5.12 版本的新漏洞，以及第二個潛在漏洞的傳聞。這些資訊目前僅來自社群討論與個人貼文，尚未得到官方正式確認或詳細技術分析的支持。

在更新發布後的幾個小時內，有使用者反映 Docker 鏡像或其他自動化部署流程出現延遲或問題。例如，雖然 PHP 8.4.27 標籤已出現，但缺乏 amd64 架構的可建置鏡像，導致部分環境無法立即完成更新。

這種發布後資源同步的延遲讓一些使用者感到困擾，並促使他們重新評估現有的部署策略。儘管官方流程需要時間處理，但對於依賴即時安全補丁的生產環境而言，這些短暫的空窗期仍構成操作風險。