10月21日，广泛使用的编程语言PHP被披露存在两个严重安全漏洞，且已有黑客开始利用。由于PHP运行着全球约75%的可识别编程语言网站，荷兰、芬兰、法国等多国政府机构在补丁发布前抢先将网站下线，荷兰国家网络安全中心自己的官网也一度关闭。

两个漏洞编号为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2，属于无需登录或用户操作即可触发的远程代码执行漏洞。据安全公司Patchstack公告，PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed等网页请求处理方式均受影响，其中mod_php在默认配置下已演示出完整的远程代码执行，风险最高。

PHP开发团队于北京时间10月21日晚发布修复版本8.5.12、8.4.27、8.3.36和8.2.35，并破例为已停止支持的7.4、8.0和8.1提供最小化源码补丁。荷兰众议院、鹿特丹港、多家医院网站，芬兰国家IT服务商Valtori的政府公共网络服务，以及法国内政部的地方政府行政网站，均采取预防性下线或转入维护。

安全专家建议，网站管理者应先确认所用PHP版本，尽快安装补丁，防火墙规则只是过渡手段；对运行时间较长的站点，还应排查异常请求与可疑文件。WordPress安全插件Wordfence提醒，自动更新功能不会自动应用PHP补丁，网站所有者需明确由谁负责更新。对托管在共享服务器上的小型站点，专家提醒修复周期可能更长，暴露风险也更高。