漏洞概况与严重程度 - PHP安全团队于10月21日晚间披露两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，风险等级严重 [1] - 所有处理网络请求的PHP安装均受影响，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP以及LiteSpeed，其中mod_php风险最高，且已证实存在漏洞利用方式，未经过身份验证的请求可在任何应用代码运行前触发攻击 [4] - 攻击者可通过特制POST请求，在无需账号密码的情况下远程执行代码、接管服务器 [5] - CVE-2026-109618为内存耗尽场景下的内存破坏漏洞，CVE-2026-109619属于释放后使用漏洞，跨请求生命周期触发 [5] 受影响版本与修复情况 - 受影响版本包括PHP8.2、8.3、8.4、8.5分支旧版，官方当晚紧急推送修复补丁 [6] - 因漏洞细节提前泄露，多国网络安全机构同步发布预警 [7] - 运维人员需尽快升级至对应安全版本，短期内无法升级的业务可拦截畸形multipart POST请求，必要时临时关停网站降低被入侵风险 [7] 行业相关方动态 - OpenAI官方发帖称GPT模型（GPT 5.6 Sol）帮助白帽黑客发现了关键漏洞 [8] - 有开发者补充，最初的发现和漏洞利用开发实际上是几个月前由一位独立研究人员完成的 [9] - 除OpenAI外，谷歌旗下的Wiz团队也发现了这两个漏洞 [11]

漏洞概况与严重程度 - PHP安全团队于10月21日晚间披露两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，风险等级严重 [1] - PHP官网指出所有处理网络请求的PHP安装均受影响，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP以及LiteSpeed，其中mod_php风险最高且已证实存在漏洞利用方式，未经过身份验证的请求可在任何应用代码运行前触发攻击 [2] - 漏洞可被攻击者通过特制POST请求在无需账号密码的情况下远程执行代码、接管服务器 [3] - CVE-2026-109618为内存耗尽场景下的内存破坏漏洞，CVE-2026-109619属于释放后使用漏洞，跨请求生命周期触发 [3] 受影响版本与修复情况 - 受影响版本包括PHP8.2、8.3、8.4、8.5分支旧版，官方当晚紧急推送修复补丁 [4] - 因漏洞细节提前泄露，多国网络安全机构同步发布预警 [5] - 运维人员需尽快升级至对应安全版本，短期内无法升级的业务可拦截畸形multipart POST请求，必要时临时关停网站降低被入侵风险 [5] 漏洞发现方与行业参与 - OpenAI官方发帖称GPT模型（GPT 5.6 Sol）帮白帽黑客发现了关键漏洞 [6] - 有开发者补充，最初的发现和漏洞利用开发实际上是几个月前由一位独立研究人员完成的 [7] - 除OpenAI外，谷歌旗下的Wiz团队也发现了这两个漏洞 [9]