编号：CVE-2026-109618、CVE-2026-109619
安全公司 watchTowr 已确认两个都是远程代码执行（RCE），也就是可以拿 shell。
漏洞在 PHP 本身，不在某个面板或框架里。面板代码写得再干净也挡不住。
Sansec 等安全公司称 PHP 5.4 及以后的版本都受影响。具体范围以官方公告为准。
只有 8.2、8.3、8.4、8.5 会收到官方补丁。8.1 及以下（包括大量还在跑的 5.6 和 7.x）官方不会修。
安全公司预计补丁发布后 15 分钟内就会出现大规模扫描和攻击

请大家更新PHP版本到这些版本（ PHP 8.5.12、8.4.27、8.3.36 、8.2.35）以解决问题。