PHP 安全团队已就即将发布的关键安全更新发布正式公告。该更新计划于 UTC 时间 2026 年 10 月 21 日星期三 14:00 部署。此次发布专门针对两个漏洞，这两个漏洞的 CVSS v4.0 评分均为 9.2，被归类为“关键”。团队建议所有 PHP 用户立即为此次更新做好准备，并指出如果出现野外活跃利用的证据或漏洞的更多细节公开，该发布可能会提前。
PHP 安全团队已就即将发布的关键安全更新发布正式公告。
围绕此公告的技术讨论突显了情况的严重性，一些观察人士认为这些漏洞可能是该语言历史上最重大的漏洞之一。来自社区的报告显示，概念验证（PoC）漏洞利用程序已经流传，一些用户声称已成功利用它们从个人网站中导出数据库。这些漏洞利用程序的快速出现，甚至是在官方补丁发布之前，促使一些管理员采取极端措施，在能够应用安全更新之前完全关闭他们的网站。
对于无法关闭服务的用户，社区讨论了几种临时缓解策略。一种建议的方法涉及修改 `php.ini` 配置，将 `session.upload_progress.enabled` 设置为 `Off`，并可能将 `file_uploads` 设置为 `Off`。另一种技术方法包括在 Web 服务器级别拦截 multipart 请求，或使用 Web 应用防火墙（WAF）拒绝 `POST`、`PUT`、`PATCH` 和 `DELETE` 请求。虽然这些措施可能会破坏标准的表单功能（如登录页面），但它们被提议作为在等待官方补丁期间维持网站在线的一种方法。然而，一些用户对这些缓解措施的有效性表示不确定，指出即使调整了这些设置，某些序列化过程仍可能受到攻击。