PHP 严重漏洞引发全球安全应对

重点摘要

PHP 于 October 21, 2026 发布 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，以修补 CVE-2026-109618 和 CVE-2026-109619。这两个漏洞的 CVSSv4 评级均为 9.2，可能使受影响服务器遭到未经身份验证的远程代码执行。由于有早期攻击及信息提前泄露的报告，芬兰、荷兰和法国预防性地让部分政府网站下线。这些漏洞影响广泛使用的服务器端技术，但立即责任在网站运营者和托管服务提供商，而非普通访客。PHP 用户应优先应用适用的安全更新，或升级已停止支持的版本。

情绪分析

• 文章整体语气紧迫且带有警示意味，反映两个漏洞的严重程度高达 10 分中的 9.2 分，以及有报告指出攻击者在补丁发布前便开始探测受影响系统。
• 文章也通过实际区分各方责任来平衡担忧：普通互联网用户不必在手机或电脑上安装 PHP 更新，但网站所有者和托管公司必须检查服务器上运行的软件。
• 文章描述政府机构采取预防性关站措施，并警告公开补丁可能帮助攻击者找出尚未修补系统的可利用弱点。这些内容营造出强烈的风险感，但并未声称每个 PHP 网站都已遭到入侵。
• 整体情绪为复杂，略偏负面：漏洞和早期攻击的报告令人担忧，但补丁与缓解措施的发布也提供了明确的应对方式。进度条呈现的是整体偏负面的安全态势，而非受影响网站的百分比。

文章内容

PHP 于 October 21, 2026 发布安全更新，修补两个严重漏洞：CVE-2026-109618 和 CVE-2026-109619。两者的 CVSSv4 评分均为 10 分中的 9.2 分，属于严重级别。这些漏洞可能让未经身份验证的人在受影响服务器上远程执行命令。修补版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 安全公告敦促用户立即更新。

PHP 是一种服务器端编程语言，用于构建和运行网站。W3Techs 估计，在已知服务器端语言的网站中，约有 70% 使用 PHP。WordPress 网站通常依赖 PHP，因此这种语言中的漏洞可能影响广泛的在线服务。风险与运行网站的服务器有关；普通访客不必在个人设备上安装 PHP 补丁。

这两个错误都涉及 PHP 处理内存中请求数据的问题。CVE-2026-109618 可能在 PHP 处理请求时耗尽内存，之后却将不完整的数据视为完整数据。CVE-2026-109619 则涉及某位访客请求中的数据留存在内存，进而影响后续请求的处理。在特定情况下，攻击者可能利用这些漏洞，让服务器在未登录的情况下执行其代码。

PHP 团队表示，使用 Apache mod_php 配置的服务器风险尤其显著，因为已演示的攻击可在应用程序代码运行前发起。这意味着网站内实施的防护措施，例如登录检查或 WordPress 安全插件，可能无法阻止服务器级别的漏洞行为。研究人员也确认，PHP 的上传进度功能是其中一种攻击途径。此功能会跟踪文件上传进度，并已默认启用超过十年，不过许多网站并未使用它。

原本预定在补丁准备就绪前，对漏洞详情保密。然而，Hacker News 论坛于 Tuesday, October 20, 2026 出现一则帖子，时间早于官方公告。安全公司 watchTowr 证实漏洞确实存在，且当时仍处于保密期。Cloudflare 首席技术官 Dane Knecht 于 October 21 报告早期攻击，时间比更新发布早了将近六小时。Cloudflare 部署紧急 Web 应用防火墙规则，以阻止已知攻击模式，同时指出这些规则只是临时措施，不能替代安装补丁。

多个公共机构采取谨慎应对措施。据广播公司 Yle 报道，芬兰国家 IT 中心 Valtori 开始让公共网络服务下线。荷兰国家网络安全机构也让其网站下线，而法国内政部表示，在等待安全补丁期间，省政府网站暂时无法使用。CERT-EU 建议无法应用修复的组织，考虑将面向互联网的应用程序与公共网络隔离。根据 Reuters 的报道，澳大利亚、日本和英国的机构也发布了类似指南。

公开讨论中有人声称，PHP 自 2004 年起的版本都受到影响。文章指出，这些说法源于早期估算和社交媒体帖子。安全公司 Sansec 认为受影响范围为 PHP 5.4 及更新版本，也就是自 2012 年起的版本。PHP 官方仅提供 8.2 及更新版本的正式发布版本，但其安全团队也为 7.4、8.0 和 8.1 发布了有限的源代码补丁。Linux 发行版可能会提供自行回移的修复。安全公司 Mallory 统计，截至 October 20，约有 884,000 个面向互联网、显示使用 PHP 8.1 或更旧版本的主机；在公开显示 PHP 版本的约 1.5 million 个主机中，这只占一部分。这些数字指的是主机，而非单个网站；共享服务器可以运行许多网站。

补丁公开后，攻击者可以比对更新后的代码和先前版本，找出修补了哪些弱点。Sansec 取证团队预计，大规模攻击会在发布后的 15 minutes 内开始。Akamai 曾于 June 2024 遭遇另一项 PHP 漏洞公开后 24 hours 内，诱饵服务器便受到攻击尝试。这些例子说明运营者为何应尽快更新，但不应因此妄下结论，认为每个存在漏洞的网站都已遭到攻击。

网站所有者应询问托管服务提供商，服务器上的 PHP 版本是否已更新，并确认由谁负责维护。根据 Wordfence 的说法，WordPress 自动更新不会应用这项服务器级别的 PHP 修复。运行 PHP 8.1 或更旧版本的系统需要制定升级计划，或应用可用的发行版专属补丁。PHP 8.2 用户也应注意，该版本将于 December 31, 2026 终止支持，届时将不再收到安全补丁。核心应对方式是由网站运营者和托管服务提供商修补或升级 PHP；访客本身没有 PHP 更新需要安装。

关键信息表