PHP 基金会于 10 月 21 日发布紧急安全更新，修复编号为 CVE-2026-109618 和 CVE-2026-109619 的两个远程代码执行超危漏洞。Sonos 中国团队于 10 月 23 日发布公告称，受该全球安全漏洞影响，为保障用户数据安全，Sonos 正在推送安全更新，期间在 Sonos App 内暂停使用网易云音乐、QQ 音乐、酷狗音乐、酷我音乐四项国内音乐服务。
据披露，此次两个漏洞均属于远程代码执行类型，未经身份验证的攻击者可借此远程执行任意代码，进而篡改网站内容、读取敏感数据或入侵服务器，可能造成服务器受控、敏感信息泄露与业务中断等后果。修复版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。受影响范围覆盖 8.5 系列低于 8.5.12、8.4 系列低于 8.4.27、8.3 系列低于 8.3.36、8.2 系列低于 8.2.35 的版本，以及 8.1 系列及更早版本。
PHP 是一款广泛用于 Web 开发的开源服务器端脚本语言，在内容管理系统、电商平台及各类企业 Web 应用中部署量庞大。由于其运行环境通常直接面向公网，远程代码执行漏洞一旦被利用，攻击者可在无需账号凭证的情况下取得服务器控制权，因此此类漏洞在安全评级中通常被列为最高危级别。对于依赖 PHP 构建后端服务的厂商而言，从漏洞公开到完成补丁部署的时间窗口，往往直接决定其业务暴露面的大小。
Sonos 中国团队表示，相关音乐服务预计将在未来几天内恢复。服务恢复后，用户可能需要重新授权音乐服务账号方可继续使用；用户在音乐服务账号内的收藏与自建歌单不会丢失，也无需更改密码或重装 App。这一处理方式表明，此次暂停属于服务端安全更新期间的临时隔离措施，而非账号体系或数据层面的故障。
从影响范围看，此次事件是开源基础软件漏洞向消费端硬件服务传导的又一案例。Sonos App 作为智能音响的配套控制入口，集成了多家国内音乐平台的账号授权与内容分发能力，其后端服务若涉及受影响的 PHP 版本，厂商需在漏洞披露后迅速完成升级与验证。Sonos 选择在更新期间直接暂停相关服务入口，而非等待补丁静默生效，反映出硬件厂商在面对上游基础软件高危漏洞时，倾向于以功能可用性换取安全确定性。
对国内音乐平台而言，此次暂停由硬件厂商侧发起，平台自身的账号与内容数据未受影响，但跨平台授权链路的临时中断仍会影响部分用户的日常使用体验。后续值得关注的是 Sonos 安全更新的推送进度，以及恢复服务后重新授权流程的实际耗时。对于更广泛的企业服务与 SaaS 厂商，此次漏洞也提供了参照：开源组件的版本管理与应急响应机制，正在成为产品稳定性和用户信任的一部分。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
