Wiz Research 藉助前沿 AI 模型在 PHP 核心引擎中發現多個記憶體安全漏洞，可導致未授權遠端程式碼執行與程序記憶體洩露，CVSS 最高 9.2。PHP 專案於 10 月 21 日發布補丁，包括 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35。據 Wiz 稱，漏洞存在於 PHP 本身、與上層應用無關，從 PHP 5.4 起近十年發布的每個版本都至少受其中一個影響；團隊已演示對 WordPress、Drupal、Joomla 的未授權 RCE，洩露的記憶體可能包含密碼、令牌、API 金鑰與證書。PHP Foundation 說明本次修復的是兩個嚴重漏洞：CVE-2026-109618 源於請求恰好觸及 memory_limit 時留下的半初始化資料導致記憶體破壞，在 Apache mod_php 下未認證請求可在任何應用程式碼執行前觸發，預設配置下已演示完整遠端程式碼執行，PHP-FPM 上也能通過應用層程式碼路徑確認；CVE-2026-109619 則因致命錯誤發生在錯誤時機、殘留上一請求的記憶體狀態。Wiz 提到的是「多個」漏洞，官方此次修復的是其中兩個。Wiz 表示這些底層缺陷已存在數十年，證明可利用性原本需要極其複雜的鏈條、處於人工研究能力的邊緣，前沿 AI 顯著降低了這一門檻。PHP 官方要求執行 PHP 的伺服器立即升級，所有跑 PHP 的站點——尤其 WordPress、Drupal、Joomla 等 CMS 與共享主機使用者——都需儘快完成升級。
AI 根據 2 則報導生成 · 更新
沿著報導，了解事件的不同側面；點標題看單篇報導的摘要與原文連結。
PHP 專案發布 8.5.12、8.4.27、8.3.36 與 8.2.35，修復兩個可讓未認證攻擊者遠端執行程式碼的嚴重漏洞。CVE-2026-109618 源於請求恰好觸及 memory_limit 時的記憶體破壞，在 Apache mod_php 下無需應用程式碼執行即可觸發；CVE-2026-109619 則由錯誤時機的致命錯誤殘留上一請求記憶體狀態導致。官方要求執行 PHP 的伺服器立即升級；
Wiz Research 藉助前沿 AI 模型在 PHP 核心引擎中發現多個記憶體安全漏洞，可導致未授權遠端程式碼執行與程序記憶體洩露，CVSS 最高 9.2，PHP 已於 10 月 21 日發布修復補丁。漏洞與上層應用無關，從 PHP 5.4 起近十年發布的每個版本都至少受其中一個影響，團隊已演示對 WordPress、Drupal、Joomla 的未授權 RCE，洩露的記憶體可能包含密碼、令牌、API 金鑰與證書。
過去 48 小時，有 1 個獨立來源報導，最近 6 小時新增 1 個。熱度 0.9，熱門榜第 22 名。
熱度以 48 小時內的獨立來源計，同一來源只算一次，每 24 小時權重減半。
同一事件的報導集中在這裡，新的進展會繼續補充。