2026年10月21日，美国国家安全局发布了有关 PHP 的安全公告。公告敦促使用该语言的组织尽快安装针对两项严重漏洞的更新；如果无法立即更新，建议将相关系统下线，直至风险得到全面缓解。
PHP 项目公告列出了 CVE-2026-109618 和 CVE-2026-109619，这两项漏洞可能导致未经身份验证的远程代码执行。已修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。使用操作系统发行版或延长支持服务商所提供软件包的管理员，应核实该供应方发布的更新。PHP 8.1 及更早版本已不再获得上游安全修复。
PHP 项目说明，安装包含修复的版本是唯一完整解决方案；临时措施只能减少部分攻击途径，不能确保系统得到全面保护。
为何与我们的研究相关？
上述漏洞涉及 PHP。它们并不能证明 Fondation UvH 的服务使用了受影响版本；本条信息也不是对其基础设施的审计。此次公告提醒我们，数字服务安全还取决于软件组件清单的维护和及时更新，并应与人工智能模型评估并行开展。