【紧急预警】PHP 核心曝两个严重 RCE 漏洞，补丁已于北京时间 10 月 21 日（周三）22:00 发布

编号：CVE-2026-109618、CVE-2026-109619
安全公司 watchTowr 已确认两个都是远程代码执行（RCE），也就是可以拿 shell。漏洞在 PHP 本身，不在某个面板或框架里。面板代码写得再干净也挡不住。Sansec 等安全公司称 PHP 5.4 及以后的版本都受影响。具体范围以官方公告为准。只有 8.2、8.3、8.4、8.5 会收到官方补丁。8.1 及以下（包括大量还在跑的 5.6 和 7.x）官方不会修。安全公司预计补丁发布后 15 分钟内就会出现大规模扫描和攻击。官方现已更新补丁。https://www.php.net/archive/2026.php PS：有人反应php8.2.35和8.5.12该漏洞仍存在。

[紧急]Nodejs漏洞
CVE-2026-111497
Node.js 官方于 2026 年 10 月 21 日修复高危漏洞 CVE-2026-111497。该漏洞涉及 Brotli 解码器越界写入，在特定条件下可能导致远程代码执行。受影响版本为 Node.js 22.x、24.x、26.x，建议尽快升级至 22.23.4、24.22.1、26.12.1 或更高安全版本。目前未见到大规模利用。

[紧急] Go中间证书信任漏洞
CVE-2026-111943
10 月 19 日发布的 Go 1.27.3 和 Go 1.26.10 让 crypto/x509 库拒绝任何经过同一家证书颁发机构 8 个中间证书的证书链. Go 项目称这些中间证书存在”与运作方式相关的安全隐患“, 但没有点名. 两天前 Mozilla 因私钥遭到泄露封禁了 eMudhra 的 8 个中间证书, 数字与之一致.
Go 团队发布了一项紧急的 crypto/x509 更新，移除了对特定 eMudhra 中间证书的信任。该修复针对 CVE-2026-111943，适用于 Go 1.26、1.27 以及即将发布的 1.28 版本。


紧急应对与修复建议
官方将仅为 PHP 8.2、8.3、8.4 和 8.5 发布修复补丁。请您立即采取以下行动：

1. 正在使用 PHP 8.2 - 8.5 的用户（需今晚紧急操作）：

随时待命： 请通知您的运维团队在今晚 22:00 前做好准备。

抢占黄金 15 分钟： 补丁一旦发布，请务必在第一波自动化攻击到来前，通过包管理器（apt/yum）或重新编译升级 PHP，并立刻重启相关服务（Nginx/Apache/PHP-FPM）。

2. 正在使用 PHP 8.1 及以下旧版本（含 5.6、7.x 等）的用户：

官方已明确不会为这些版本发布补丁。继续使用这些版本将让您的服务器完全裸露在 PHP2Shell 的攻击火力之下。

短期缓解： 立即排查并收紧服务器安全组及防火墙（iptables/firewalld）策略，开启高级别 WAF，并在 php.ini 中禁用高风险命令执行函数。

长期建议： 请即刻安排业务环境迁移，将底层升级至受官方支持的 PHP 8.2+ 版本。


关闭上传进度功能：在 php.ini 中設定 session.upload_progress.enabled = Off，随后重新启动 php-fpm