PHP安全團隊10月20日在官網預告，將在台灣時間10月21日晚上10點釋出緊急安全更新，修補2個PHP漏洞，兩個在CVSS v4.0評分系統都拿到9.2分，屬於重大等級。官方呼籲所有PHP使用者現在就做好準備，更新一出來就升級。
PHP是網站伺服器端常用的程式語言，WordPress就是用PHP寫成的。台灣的部落格、電商網站、企業官網只要架在WordPress或其他PHP系統上，都在這次更新的範圍內。
官方預告寫明，如果漏洞細節提前曝光，或發現已經有人實際用漏洞發動攻擊，更新會比預定時間更早釋出。受影響的版本、修補後的版本號與完整技術細節，要等更新釋出時才會一起公布。
歐盟資安單位：可能從PHP 5起全部受影響
歐盟機構電腦緊急應變小組（CERT-EU）10月20日發布安全公告2026-018，列出兩個漏洞的編號CVE-2026-109618與CVE-2026-109619，並指出9.2分代表攻擊者可能不需要登入，就能從遠端在伺服器上執行程式碼。
CERT-EU在公告中寫道，這兩個漏洞「可能影響PHP 5以後的所有版本」。公告引用了資安研究人員在社群平台的貼文，提到相關消息已經外流，但技術細節目前沒有公開。
CERT-EU建議各單位先盤點用到PHP的應用程式，修補版本一推出就立刻更新；無法馬上修補的，考慮先把對外開放的應用程式從公開網路隔離，等修好再上線。
PHP 8.2到8.5在官方支援清單上
依PHP官網的版本支援表，目前還在支援期內的是8.2、8.3、8.4、8.5四個分支，8.1與更早的版本已經不在清單上。上一次例行安全更新在9月24日，官方也只替這四個分支各出了一個新版本。
| PHP版本 | 安全更新支援到 | 9月24日最新安全版 |
|---|---|---|
| 8.5 | 2029年12月31日 | 8.5.11 |
| 8.4 | 2028年12月31日 | 8.4.26 |
| 8.3 | 2027年12月31日 | 8.3.35 |
| 8.2 | 2026年12月31日 | 8.2.34 |
自己管理主機的網站，可以先用php -v指令確認版本，在晚上10點更新釋出後，從PHP官網或作業系統的套件庫升級。用虛擬主機或代管服務的網站，PHP通常由主機商統一更新，可以在主機控制台查看目前的PHP版本，並留意主機商的維護公告。
正在開發中的PHP 8.6，官方原本排定10月22日推出第4個候選版本RC4，8.6目前仍是測試版，官方不建議用在正式環境。
