10月21日，PHP官方发布安全公告，修复两个严重级别的远程代码执行（RCE）漏洞：
- CVE-2026-109618
- CVE-2026-109619
两个漏洞的 CVSS v4.0 评分均为 9.2。攻击者一旦利用成功，就能在服务器上执行任意代码，可能导致系统被控制、数据泄露或业务中断。WordPress、Drupal、Joomla、Magento、Laravel这些常见的 CMS 和框架都跑在 PHP 上，不少控制面板和第三方软件也内置了 PHP，所以实际影响面比"装了 PHP 的那几台服务器"要更大更多。
Akamai 即时响应
Akamai 高度关注这次漏洞。PHP 公告发布当天，Akamai 安全情报团队（SIG）就发布了分析，并为 App & API Protector 上线了专项防护规则：
Adaptive Security Engine 规则 3000991 v1 --- PHP Remote Code Execution Attack Detected
根据 Akamai SIG 的调查，自适应安全引擎（ASE）现有的命令注入（CMDi）规则也能拦截已经武器化的攻击载荷。Akamai SIG 会持续跟踪后续利用情况，及时更新防护。
已使用Akamai的客户，请尽快完成以下检查：
规则上线了，不代表您的每条安全策略都已经生效。请登录 Akamai Control Center 确认：
- 安全策略已开启 Rapid Rules，规则3000991 处于启用状态*；
- 规则处置动作为 Akamai 托管模式（目前为Deny 拦截），或手动设为 Deny。如果是 Alert，只记录不拦截；
- ASE 命令注入（CMDi）攻击组处于拦截状态；
- 所有运行 PHP 的对外域名和API 都已接入 Akamai 并纳入对应安全策略，没有覆盖到的主机享受不到这层保护；
- 在安全事件里关注 3000991 和 CMDi 规则的触发记录，有命中就及时排查来源。
所有企业都应尽快处置：
- 盘点资产：找出所有PHP 实例和版本，包括 CMS、控制面板、内置 PHP 的第三方软件，以及没有正式纳管的老系统。
- 升级补丁：PHP 官方已发布修复版本，优先处理面向公网、涉及登录、支付和客户数据的系统，受影响版本以 PHP 官方公告为准。
- 处理老旧版本：PHP 8.1及更早版本已停止官方维护（EOL），通常不会再收到安全补丁。建议升级到受支持的版本，暂时无法升级的，先限制或断开公网访问。
- 排查入侵痕迹：如果怀疑已被入侵，立即隔离主机、保留日志，重点看 Web 根目录新增文件、定时任务（Cron / 计划任务）、异常账户、可疑进程和异常外连。
高危 RCE 漏洞公开之后，攻击者通常很快就会开始扫描。从漏洞披露到被利用之间的这段时间，就是企业的处置窗口，越早动手越主动。
* WAF 是补偿性防护，作用是在修补完成前挡住攻击、争取时间，不能代替打补丁。
如果您需要协助：
如需紧急防护评估、规则配置协助，或者尚未接入 Akamai、希望尽快部署防护，请立即联系我们；已是 Akamai 客户的，也可以直接联系您的客户经理或 Akamai 技术支持。