我们对近期安全事件的应对：PHP CVE-2026-109618/CVE-2026-109619 与 eMudhra 中间 CA 证书泄露

本周公布了两起严重的安全事件：PHP 核心的两个漏洞，以及 eMudhra 中间 CA 证书遭到泄露。本文说明这些事件对我们的网站和 EmEditor 的影响、我们已采取的措施，以及我们建议你采取的措施。

摘要

• 我们的网站不受 PHP 漏洞影响。 我们的 WordPress 网站所运行的 PHP 已经打上补丁，而且我们只发布静态页面。
• EmEditor v22.3 到 v26.3 受 eMudhra 中间 CA 证书泄露 (eMudhra Intermediate CA Compromise) 影响，原因是为语言服务器协议 (LSP) 功能附带的 Node.js。这是唯一受影响的部分。
• 请将 EmEditor 更新到最新版本，目前为 v26.4.0。 最新版本包含已修复此问题的 Node.js v26.12.1。

1. PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619

2026 年 10 月 21 日，PHP 项目公布了 PHP 核心的两个严重漏洞：CVE-2026-109618（通过内存不足时的损坏实现远程代码执行）和 CVE-2026-109619（通过过期的全局状态实现远程代码执行）。这两个漏洞都可能使处理 Web 请求的 PHP 环境遭受无需身份验证的远程代码执行。

我们的网站使用 WordPress 构建，而 WordPress 运行在 PHP 上。我们的网站通过以下三种方式受到保护：

• 我们的 WordPress 网站的 PHP 已经应用了针对 CVE-2026-109618 和 CVE-2026-109619 的最新补丁。
• 我们的 WordPress 网站被导出为静态页面，我们只发布这些静态页面。公开的网站不运行 PHP。
• 源 WordPress 网站已阻止除我们办公室以外的所有 IP 地址的访问。

Emurasoft 客户中心及我们的其他网站不使用 PHP，不受影响。

2. eMudhra 中间 CA 证书泄露 (eMudhra Intermediate CA Compromise)

2026 年 10 月 20 日，eMudhra 中间 CA 证书泄露 (eMudhra Intermediate CA Compromise) 被公开。eMudhra 的 8 个中间 CA 证书的私钥已遭泄露。这些中间 CA 链接到主要操作系统和浏览器信任的根证书，因此持有其中任一私钥的攻击者，可以对仍然信任它们的客户端冒充任何网站或服务。这些中间 CA 证书已被吊销，但不检查吊销状态的客户端需要更新软件。

2-1. EmEditor 中受影响的部分

EmEditor 为 语言服务器协议 (LSP) 功能使用 Node.js，而 Node.js 受到了此事件的影响。在 v22.3（2023 年 4 月 11 日发布）到 v26.3（2026 年 10 月 7 日发布）之间（含两者）发布的所有 EmEditor 版本都包含 Node.js，因此均受影响。这适用于 Professional 版和 Free 版，也适用于 64 位版和 32 位版。

在 EmEditor v26.4 中，我们已将 Node.js 更新到解决了此问题的 v26.12.1。

2-2. EmEditor 的其他部分不受影响

我们对 EmEditor 的全部源代码进行了安全扫描，发现 LSP 是唯一受影响的部分。只要你的 Windows 系统已安装最新更新，EmEditor 的其他部分就不存在漏洞：

• EmEditor 使用 Windows 的 CA 证书，而不是自带证书，因此会使用 Microsoft 已通过 Windows 发布的吊销信息。
• WebPreview 和 ChatAI 插件使用你的系统上安装的 Microsoft Edge。
• 我们的 TLS 证书和代码签名证书均不是由 eMudhra 颁发的。EmEditor 的数字签名和我们网站的证书不受影响。

3. 我们的建议

• 将 EmEditor 更新到最新版本，目前为 v26.4.0。 如果你使用旧版 MSI 安装程序，请选择 帮助 > 检查更新，或下载最新版本。如果你直接下载 MSI 安装程序，请确认其数字签名由 Emurasoft, Inc. 颁发。
• 使 Windows 和 Web 浏览器保持最新状态，包括 WebPreview 和 ChatAI 插件使用的 Microsoft Edge。

如果你有任何问题，请联系我们。

感谢你一直以来对 EmEditor 的支持。
—— Yutaka Emura