2026 年 10 月 21 日，PHP 官方发布安全更新，修复两个可远程执行代码的高危漏洞（CVE-2026-109618、CVE-2026-109619）。这几天多家云平台陆续向用户发出提醒，也有客户拿着短信来问我们：我们的网站会不会受影响。
这里直接说明：不受影响，不需要做任何操作。
由花里云开发、托管和维护的官网、小程序与后台系统，均不使用 PHP，本次漏洞的触发条件在这些系统上不存在。
这次漏洞的影响面为什么这么大
漏洞位置不在应用代码里，而在 PHP 解释器内部：一处是内存超限中断时，清理流程会误释放仍残留着上一次请求数据的内存；另一处是请求的内部状态在释放后未被清理，被同一工作进程的下一个请求误用。两条路径都发生在应用代码执行之前，所以程序写得再规范也拦不住。
攻击者不需要账号、不需要登录，构造一个特制请求就能在服务器上执行任意代码，CVSS 评分 9.2。国家信息安全漏洞共享平台（CNVD）评级「高危」，工信部 NVDB、欧盟 CERT-EU、英国 NCSC 均已发布预警。
受影响范围包括 8.2、8.3、8.4、8.5 的多个低版本以及 8.1 及更早版本，并波及 WordPress、Drupal、Joomla、Magento、Laravel 等大量基于 PHP 的主流系统。多国政府站点已采取临时下线的方式避险。
我们的系统为什么不在里面
花里云自研的数字平台不使用 PHP：后端为 Node.js + TypeScript，数据库访问走参数化查询，前端 Vue，部署与数据库迁移由自有脚本自动执行。
我们对外提供的 SaaS 网站产品同样不使用 PHP，技术栈为 Java。
也就是说，本次两个漏洞的触发机制——PHP 解释器的内存管理——在这两套系统上都不具备。不是我们临时打了补丁，是这个组件在我们的系统里根本不存在。
边界也需要说清楚：以上指由花里云开发、托管和维护的系统。如果贵司另有早期外包建设、第三方建站平台搭建，或其他部门自行采购的站点，不在我们的维护范围内，需要单独核查，方法见下一节。
如果你手上还有别的 PHP 站，三步自查
第一，把站数清楚。官网容易想到，论坛、商城、老活动页、外包做的专题页最容易被漏掉。
第二，查版本要查对地方。命令行 php -v 看到的是命令行版本，网站实际运行的往往是另一个；查网站跑的那个，用 php-fpm -v 或对应的 php-fpm8.x -v。CNVD 专门提示过这一点，两者不一致很常见。
第三，别只盯 PHP 版本。站点如果跑的是 WordPress、Drupal、Joomla、Magento 这类程序，程序本身也有版本要跟。另外 8.1 及更早已停止官方支持，只剩源码级的最小回移补丁，建议尽快迁移到受支持的版本。
不确定自己的站是什么环境，把域名发给我们，我们帮你看一眼，不收费。
关于「安全」这个词
我们不会说自己绝对安全。这句话没有一家公司说得起，说了也不成立——任何语言都有漏洞，只是形状不同。
能说清楚的是两件具体的事：安全公告进入我们的日常监测清单，有人盯着，不等新闻推送；需要升级时，我们能在窗口期内完成，并且不把客户的站搞坏。
这次事件里最值得注意的其实是时间：漏洞信息在补丁发布前就被泄露，攻击者抢在修复版本上线前几个小时动手。从「知道有洞」到「被打」，窗口可能只有几个小时。
所以选建站方案时，值得多问一句：以后出了漏洞，谁来打补丁、多久能打完、打完会不会把站搞坏。
有疑问随时联系我们。