2026年10月21日，PHP 官方公布两项严重安全漏洞（CVE-2026-109618、CVE-2026-109619），并已发布修复版本。漏洞涉及 PHP 运行环境，攻击者在特定条件下可能无需登录网站，即可远程执行代码，进而造成网站被篡改、数据泄露或服务中断。

如果您的云服务器或裸金属服务器使用 PHP 运行网站、接口或管理系统，请尽快完成安全更新。临时修改配置不能替代漏洞修复。

宝塔已发布 PHP 更新

请进入宝塔面板 → 软件商店 → 已安装的 PHP，更新网站正在使用的 PHP 版本。只更新宝塔面板本身不够；使用多个 PHP 版本的，请分别检查更新。

其他环境请通过 PHP 官方或操作系统发行商的可信渠道安装安全更新。本次官方修复版本为 8.2.35、8.3.36、8.4.27、8.5.12，请选择对应分支的修复版本或更新的安全版本。使用旧版 PHP 的客户，请确认供应商是否提供修复补丁，或评估升级至受支持版本。

更新前请备份网站和数据库，更新后重启对应 PHP 服务，并检查网站是否正常。

不熟悉操作的客户，可以借助 AI，根据自己的服务器环境了解更新方法。