PHP 8.5.12 紧急发布：修复可导致未认证远程代码执行的高危漏洞

PHP 开发团队宣布 PHP 8.5.12 立即可用，并明确这是一次安全发布。公告写明本版修复两项严重漏洞——CVE-2026-109618 与 CVE-2026-109619——在特定条件下可导致未认证远程代码执行。[1]

团队强调：不存在完整缓解措施，更新是唯一安全选择；所有 PHP 8.5 用户应尽快升级。更多技术细节指向 php.net 归档中 2026-10-21 的安全说明条目；源码与 Windows 二进制可在官方下载页获取，变更列表见 ChangeLog 中 8.5.12 一节。公告同时给出发布说明页与一份 GitHub Gist 形式的 release manifest 链接。[1]

公告由 Daniel Scherzer、Volker Dusch 与 Pierrick Charron 署名，并附带 php-8.5.12.tar.bz2、php-8.5.12.tar.gz 的 SHA256 与 PGP 签名，便于镜像站与自建编译环境校验包完整性。运维侧建议：先确认线上是否仍为 8.5.x，再按发行渠道或源码编译升到 8.5.12，升级后重启 PHP-FPM / Apache 模块等运行时，并观察错误日志与 WAF 告警是否异常。

来源

[1] [ANNOUNCE] PHP 8.5.12 Released - php.announce，2026年10月21日。

#PHP #8.5.12 #安全更新 #RCE #CVE