PHP 高危漏洞评分 9.2，Baklib 的内容站跑在 Ruby on Rails 上
PHP 引擎漏洞 CVE-2026-109618 与 CVE-2026-109619 的评分是 9.2，影响自 PHP 5.4 至 8.5.11。Baklib 的内容站跑在 Ruby on Rails 上，这一对漏洞不经过它的请求链路。
浏览 3
巴克励步
PHP 引擎漏洞 CVE-2026-109618 与 CVE-2026-109619 的评分是 9.2，影响自 PHP 5.4 至 8.5.11。Baklib 的内容站跑在 Ruby on Rails 上，这一对漏洞不经过它的请求链路。总览见 采用 Baklib 构建一体化企业知识中台的终极指南。
2026 年 10 月 21 日，PHP 项目发布紧急补丁。攻击者不需要账号。在 Apache mod_php 这类部署上，请求进入网站自己的业务代码之前，就可能被利用来远程执行代码。漏洞从 2012 年的 PHP 5.4 起就在代码里，官方仍在维护的版本一直影响到 8.5.11。
这两个 PHP 漏洞影响哪些网站？
影响的是用受影响 PHP 进程对外提供网页的站点，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。官方认为 mod_php 风险最高。Wiz Research 在 2026 年把这组问题称为 PHP2Shell，并点名 WordPress、Joomla、Drupal 和维基百科使用的 MediaWiki。这些产品和 Baklib VS WordPress、Baklib vs. Drupal 里说的建站工具，跑的是 PHP。
2026 年 10 月 25 日，央广网中国之声报道：全球大约七成网站后台使用 PHP。欧洲多国政府网站紧急下线，日本部分金融机构暂停网络服务，国家网络安全通报中心发出高危预警。奇安信监测到近千个源 IP 发起数万次攻击尝试，并确认已经出现在野利用。
CVE-2026-109618 出在 PHP 处理内存不够的方式上。CVE-2026-109619 是请求状态在内存释放之后仍被下一次请求用到。出处见 PHP 安全公告 GHSA-w8hw-w9fx-j79w（2026-10-21）和 Google Cloud 对这两个编号的说明。
官方补丁版本是哪些？
仍在接收官方补丁的版本是 PHP 8.2.35、8.3.36、8.4.27、8.5.12。PHP 8.1 及更早版本已经停止官方维护，项目不再为这些分支发布修复。PHP 写明：装上包含该补丁的版本，是唯一完整的修复办法。
10 月 23 日另一个编号 CVE-2026-115560，欧盟计算机应急响应小组引述项目组的判断：它只影响配置方式比较特殊的站点，不单独发紧急更新。
Wiz 写到，这些缺陷来自十多年前的架构决定，前沿 AI 把证明它们能被利用的长链缩短了。央广网记载：2024 年外部安全审计已经察觉苗头，PHP 基金会承认人手不够。2026 年 8 月，研究人员借助 AI 完成验证。奇安信汪列军说，AI 同时抬高了发现漏洞和利用漏洞的效率。刘兴亮把现场分成三件事：用了存在漏洞的组件，遭遇攻击尝试，真的被攻破。借「修漏洞」名义的短信和链接，应打开官方渠道核实。
Baklib 的技术栈为什么不经过这次 PHP 漏洞？
Baklib 在 Baklib 参加 RubyConf 2026 技术大会 一文里写明：平台基于 Ruby on Rails。文章记载，Baklib 于 2024 年 11 月 30 日作为合作伙伴参加 RubyConf China。新版本自 2022 年启动，到文章撰写时累计提交上千次，完成功能特性 200 多个。
私有化部署公开说明把组件写到了这一层：Ruby 3.2.2（最低 3.2.0），Web 由 Rails 处理 HTTP，异步任务走独立 Job 进程，数据库是 PostgreSQL，缓存与会话是 Redis，配置用三节点 ETCD，入口用 Traefik 做反向代理和 HTTPS，整套服务由 Docker Compose 拉起。签约前的资源准备见 Baklib 私有化独立部署资源清单，部署方式见 独立部署与私有化。
CVE-2026-109618 和 CVE-2026-109619 的触发点在 PHP 解释器处理请求的过程中。Baklib 的发布服务加载的是 Ruby 运行时。帮助中心、内部知识库建设与问答、Wiki 和产品文档如果建在 Baklib 上，不在这一对 PHP 引擎漏洞的影响范围内。Rails、Ruby、PostgreSQL、Redis 和 Traefik 仍要按各自公告升级。
内容和入口还要守什么？
引擎选择解决的是请求进哪一套运行时。页面发出去之后，谁能看、谁能改，是另一层。
前台能否打开某一页，在访问控制里配置：完全公开、组织用户登录、按用户组或部门授权、密码或 Token、SSO。权限分组织、知识库、应用三层。私有化部署规范要求敏感数据走 HTTPS，列出 SHA-512、AES128、RSA2048，并记录登录、角色和配置变更。已实现的 SSO 包括微信、企业微信、Google、Github。把知识留在自有服务器上的做法，见 私有化知识库：在自有环境发布客户帮助中心。
自建 PHP 站点要核对版本，升到 8.2.35、8.3.36、8.4.27 或 8.5.12，并确认补丁装到了实际对外的那台机器上。8.1 及更早版本没有官方补丁。短信里的「修复工具」走官方渠道核实。
常见问题
PHP 8.1 还有这一对漏洞的官方补丁吗？
没有。PHP 8.1 及更早版本已停止官方维护。仍在维护的修复版本是 8.2.35、8.3.36、8.4.27、8.5.12。
建在 Baklib 上的帮助中心要给 PHP 打这一对补丁吗？
不要。Baklib 的 Web 请求由 Ruby on Rails 处理，不加载 PHP。这个结论只覆盖 CVE-2026-109618 和 CVE-2026-109619。
换成 Rails 是否等于网站没有漏洞？
不等于。Ruby、Rails、PostgreSQL、Redis 和 Traefik 各自有安全公告，要按组件版本升级。
资料来源：央广网中国之声，记者韩萌，2026-10-25；Wiz Research，PHP2Shell，2026-10-21；Google Cloud 对 CVE-2026-109618 / CVE-2026-109619 的说明；PHP 安全公告 GHSA-w8hw-w9fx-j79w。
Baklib 已连接 AI 工作台，通过 API/MCP/CLI。
无论任意 AI 工作台你都能轻松对接，实现从上下文到知识沉淀的持久化。
