很多人以为，官方补丁发布的那一刻，一场安全危机就可以翻篇了。但2026年10月21日北京时间晚上十点，PHP安全团队放出四个修复版本之后，欧洲多国政府网站不是松了一口气，反而开始接连下线。补丁到了，真正让机构肉疼的部分才刚刚开始计价。
事件的起点在10月20日。PHP安全团队预告将发布安全更新，修复两个远程代码执行漏洞，漏洞编号为CVE-2026-109618和CVE-2026-109619。这两个漏洞在CVSS v4.0评分体系（国际上给漏洞严重程度打分的通用标准，满分10分）里都拿到9.2分，属于“严重”级别。安全公司watchTowr确认，这是两个零日远程代码执行漏洞。所谓远程代码执行，通俗讲就是攻击者不需要账号密码，就可能通过构造请求让服务器执行非预期的代码。PHP是全球大量网站最底层的编程语言之一，而WordPress在全球网站中的市场占比超过四成，只要底层PHP环境没有修复，这些网站都处于暴露状态。据中华网转引cnBeta的报道，安全研究人员估计，可能受影响的联网主机超过130万台。