PHP 修补与设定补充：Unit 42 更正一宗入侵成因判断
PHP 已发布两项重大漏洞的修补，另提醒特定 Session 设定仍须处理。Unit 42 其后撤回一宗政府机构入侵与 PHP2Shell 有关的判断；修补需要与事故成因证据应分开阅读。
来源事实
PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修补 CVE-2026-109618 及 CVE-2026-109619。使用发行版维护套件的机构，亦应核对供应商是否已回移修正。
10 月 23 日，PHP 补充另一个只在罕见设定组合出现的问题：应用先设定特定 Session 序列化方式，再于执行期间切换方式，且仍启用上传进度功能。官方建议相关环境暂停该功能，并等待常规版本的完整修正说明。
Unit 42 于 10 月 25 日表示，无法确认先前一宗欧洲政府机构的初始入侵与上述两个 CVE 有关，已撤回原判断。这项更正不否定漏洞及修补需要，也不能把扫描或可疑活动直接等同成功利用。
给企业的下一步 / 编辑观察
把修补状态、设定条件和已确认入侵证据分开记录，避免依过时标题判断风险。
原始来源
- Security advisory: Critical remote code execution vulnerabilities, update now / Informational advisory: Session upload progress ↗发布 2026.10.21 · 更新 2026.10.23
- Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 25) ↗更新 2026.10.25
报道线索 · The Hacker News · 6 篇已合并
已追查上列原始资料。媒体旧标题可能已有更正，本文采用核对后的事实与限制。
Security advisory: Critical remote code execution vulnerabilities, update now / Informational advisory: Session upload progress
来源核对：2026-10-26 · SI 智能体辅助整理，未作人工逐篇审核。
本文为中文摘要与编辑观察；来源日期与本站核对日期分开标示。原始公告如有更新，请以来源为准。
KEEP READING / 延伸阅读
