PHP Foundation 发布两项严重漏洞紧急安全更新，影响 PHP 5 以来的 Web 请求部署

互联网安全和Web 管理团队正在全球范围内紧急行动，以防止灾难大范围发生。周三，广泛使用的 PHP 编程语言的开发者发布了紧急安全更新，旨在修复严重漏洞，这些漏洞可能被利用，让攻击者远程控制受害者的系统。

PHP Foundation 详细介绍了两个严重漏洞——CVE-2026-109618和CVE-2026-109619——它们影响“所有处理 Web 请求的 PHP 安装”，追溯至 2004 年 7 月发布的 PHP 5。不过，根据安全公告，目前仅 PHP 8.2 及更新版本仍受支持并将获得补丁。PHP Foundation 还指出，一些 PHP 发行版和第三方供应商仍会提供旧版本修复。这个警示意义重大，因为 PHP 这类无处不在、构成基础的 Web 层，可能会在互联网历史基础设施中被遗忘，长期得不到更新。

“没有完整的缓解措施，更新是唯一安全的选择，”PHP Foundation 在公告中写道。安全专家警告，忽视未打补丁的系统可能导致严重后果。

“这不是演习，”独立安全顾问、伦敦国王学院访问高级研究员 Lukasz Olejnik 表示。自 20 世纪 90 年代开发以来，PHP 已发展成为 Web 开发必不可少的脚本语言，被互联网的大片领域用于网站和软件。从 WordPress 和 Drupal 这样的内容发布系统，到 Adobe 的 Magento 这类电子商务平台，都是基于 PHP 构建的。

Olejnik 将这种编程语言的广泛应用比作关键基础设施。

“影响巨大，”他谈及 PHP 的安全漏洞时说，并补充称数百万个系统可能受到影响。“尤其是攻击者若迅速开始利用这些漏洞。最坏的情况是可蠕虫传播的恶意软件影响互联网的大片区域。”

安全团队和开发者最担心的是，恶意黑客可能迅速利用这些漏洞，在相关部署完成修复前发起攻击。互联网基础设施公司 Cloudflare 报告称，在 PHP Foundation 详细披露漏洞并发布修复措施之前，就“已发现早期攻击出现”。安全公司 Sansec 在修复措施发布前写道：“我们预计，大规模攻击将在修复措施发布后 15 分钟内开始。”这些修复措施于周三美国东部时间上午 10 点前不久发布。

“大多数 Web 服务运行在 PHP 上，而这个漏洞存在于文件上传接口中，就像一扇没有锁的前门，”长期从事安全与合规咨询的 Davi Ottenheimer 表示。“攻击者无需知道自己攻击的是哪个网站，甚至无需知道网站实际运行的软件。他们只需向任何能找到的服务器发送一个精心构造的上传请求，整个攻击就完成了。”

在 PHP 更新版本推出之前，一些组织出于谨慎将网站下线。据报道，包括国家土地测量局在内的芬兰政府多个网站无法访问。据路透社报道，法国政府网站和鹿特丹港网站也已下线。

“所有人都应立即打补丁，漏洞利用可能会非常迅速地大规模发生，”Olejnik 表示。“AI 让立即利用这类漏洞变得至关重要。确实，可能只需要一分钟左右。”

安全公司 Wiz（归 Google 所有）声称，其研究人员在一定程度上借助 AI 工具发现了这些 PHP 漏洞；而 OpenAI 和安全公司 Calif 也表示，他们独立发现了这些问题，并开展了合作。Wiz 研究人员将漏洞利用演示称为 php2shell，并写道，在某些情况下，这些漏洞“相当容易”被利用。

Wiz 在其研究报告中写道：“这些漏洞可能使未经身份验证的攻击者在受影响的服务器上执行代码，或读取敏感的进程内存。”“这些内存中可能包含密码、身份验证令牌、API 密钥，以及属于其他请求或服务器本身的证书。”

有关这些即将披露的漏洞的消息，最先于 10 月 20 日由 PHP 背后的维护者发布。在 PHP 网站的一篇简短文章中，PHP Foundation 表示，将提前“通知”这些安全漏洞以及即将发布的修复版本。文章没有透露漏洞的具体细节或受影响的版本，但称这两个漏洞在通用漏洞评分系统（CVSS）中的评分均为 9.2 分（满分 10 分），属于“严重”级别。

PHP 网站上的安全警告在周三发布前表示：“如果任一漏洞的细节公开，或出现漏洞在野外遭到主动利用的证据，我们保留提前发布的权利。”据 Bleeping Computer 和 Ars Technica 报道，部分漏洞细节可能在原定正式公布之前已经泄露。

PHP Foundation 提前发出的警告，或许让一些开发者、安全团队和公司有足够时间开始准备更新使用 PHP 的系统。在漏洞详情公布之前，欧盟计算机应急响应小组（EU-CERT）和澳大利亚网络安全机构均发出警告，称 IT 团队应做好准备，尽快更新系统；在应用修复程序期间，网站可能需要下线。

同样，英国国家网络安全中心（NCSC）发布了一则警报，称各组织应“准备立即更新”使用 PHP 的系统。该机构在网上写道：“如果无法立即修复，各组织应考虑让系统下线，直至漏洞得到全面缓解。”

NCSC 建议各组织和企业识别其技术基础设施中运行 PHP 的系统。应特别关注连接互联网的 PHP 系统，并监控是否存在潜在的漏洞利用活动。下一步是在 PHP 更新可用时立即应用，并关注软件公司的更新，因为它们的应用或服务可能使用 PHP。

FBI 网络事务助理局长 Brett Leatherman 在网上发文称：“如果发现入侵迹象，请隔离系统，保存 Web 服务器和 PHP 日志，并向当地 FBI 外勤办公室报告。”“这些报告有助于我们识别涉事人员，并在其他组织成为受害者之前向其发出警告。”