‘This Is Not a Drill’: Critical PHP Vulnerabilities Are Setting the Internet on Fire

“这不是演习”：严重 PHP 漏洞正在引发互联网危机 | WIRED

Matt Burgess

Lily Hay Newman

安全

2026 年 10 月 21 日 10:26 上午

“这不是演习”：严重 PHP 漏洞正在引发互联网危机

PHP 基金会披露了两个可能影响数百万网站的严重漏洞。安全专家警告称，若未能迅速修补这些漏洞，可能会带来严重后果。

照片插图：WIRED 工作室；Getty Images

保存此故事

全球的互联网安全和网络运维团队正忙于防止大规模灾难。本周三，广受使用的 PHP 编程语言开发者发布了紧急安全更新，旨在修复可能被攻击者利用以获取受害者系统危险远程控制权限的关键漏洞。

PHP 基金会详细说明了这两个关键漏洞——CVE-2026-109618 和 CVE-2026-109619——这些漏洞影响“所有处理网页请求的 PHP 安装”，可追溯至 2004 年 7 月发布的 PHP 5 版本。然而，根据警报信息，目前仅 PHP 8.2 及更新版本仍受支持并会获得补丁。PHP 基金会指出，一些 PHP 发行版和第三方供应商仍提供遗留版本的修复方案。这一注意事项意义重大，因为像 PHP 这样无处不在且基础的网络层可能在历史互联网基础设施中被遗忘且未更新。

PHP 基金会在其公告中写道：“没有完全的缓解措施，更新是唯一安全的选择。”安全专家警告称，忽视未修补系统的潜在后果可能非常严重。

独立安全顾问兼伦敦国王学院高级研究访问学者 Lukasz Olejnik 表示：“这不是演习。”自 20 世纪 90 年代开发以来，PHP 已演变为网络开发不可或缺的脚本语言，被广泛用于互联网上的网站和软件。从 WordPress 和 Drupal 等发布系统到 Adobe 的 Magento 等电子商务平台，所有这些都建立在 PHP 之上。

Olejnik 将这种编程语言的广泛使用比作关键基础设施。

他对 PHP 安全漏洞的影响表示：“影响是巨大的。”并补充说，数百万个系统可能受到影响。“特别是如果攻击者迅速利用这些漏洞，最坏的情况是蠕虫式恶意软件影响互联网的大部分区域。”

安全团队和开发人员的主要担忧是，恶意黑客可能迅速利用这些漏洞，在漏洞修复之前就开始攻击部署。互联网基础设施公司 Cloudflare 报告称，在 PHP 基金会详细说明漏洞并发布修复方案之前，他们已经“看到早期攻击出现”。安全公司 Sansec 在修复方案发布前表示：“我们预计在发布后 15 分钟内就会出现大规模攻击。”这些修复方案恰好在美东时间周三上午 10 点前发布。

长期从事安全和合规咨询的 Davi Ottenheimer 表示：“大多数网站都运行在 PHP 上，而这个漏洞位于一个文件上传接口，就像没有锁的正门。”“攻击者不需要知道他们正在攻击哪个网站，甚至不需要知道该网站实际运行的软件。他们只需向找到的任何服务器发送一个精心设计的上传请求，这就是整个攻击过程。”

在PHP更新版本发布之前，一些组织采取了预防措施，将网站暂时下线。据媒体报道，包括芬兰国家土地测量局在内的多个芬兰政府网站均无法访问。路透社称，法国政府网站和鹿特丹港官网也一度无法访问。

“每个人都应立即进行补丁修复，因为漏洞可能被迅速且大规模地利用，”Olejnik表示。“AI使得利用此类漏洞变得尤为紧迫，可能在短短一分钟内就会发生。”

隶属于谷歌的安全公司Wiz称，其研究人员部分利用AI工具发现了PHP中的漏洞。OpenAI和安全公司Calif也表示，他们独立发现了这些问题并进行了合作。Wiz研究人员将漏洞利用演示命名为“php2shell”，并指出在某些情况下，这些漏洞“相对容易”被利用。

Wiz在其研究报告中表示：“这些漏洞可能允许未经授权的攻击者在受影响的服务器上执行代码，或读取敏感进程内存。”该内存可能包含其他请求或服务器本身的密码、认证令牌、API密钥和证书。

PHP维护者于10月20日首次公开了即将披露的漏洞细节。在PHP官网的一篇简短声明中，PHP基金会表示将“提前通知”这些安全漏洞及后续修复版本的发布。尽管未具体说明漏洞细节或受影响版本，但表示这两个漏洞在通用漏洞评分系统（CVSS）中的评分均为“严重”（9.2/10）。

PHP官网在周三发布前的安全警告中表示：“如果任一漏洞的细节被公开，或出现漏洞被实际利用的证据，我们保留提前发布修复版本的权利。”据《Bleeping Computer》和《Ars Technica》报道，部分漏洞细节可能在官方公布前已泄露。

PHP基金会的早期预警可能让部分开发者、安全团队和公司及时获得了更新系统所需的信息。在细节公布前，欧盟计算机紧急响应小组（EU-CERT）和澳大利亚网络安全机构已发出警告，要求IT团队尽快准备更新系统，因为修复过程中网站可能被暂时下线。

同样，英国国家网络安全中心（NCSC）也发布了警报，称使用PHP的组织应“立即准备更新系统”。该机构在线声明中表示：“如果无法立即修复，组织应考虑将系统下线，直到完全缓解风险。”

NCSC建议组织和企业识别其技术基础设施中运行PHP的系统，特别关注连接互联网的PHP系统，并监控是否存在潜在利用行为。下一步是及时应用PHP更新，并关注软件公司的更新通知，因为其应用程序或服务可能使用PHP。

“如果您发现系统被入侵的迹象，请隔离系统，保留Web服务器和PHP日志，并向当地FBI办事处报告，”FBI网络事务助理局长Brett Leatherman在线发布的声明中表示。“这些报告有助于我们识别相关行为者，并在其他组织成为受害者之前发出警告。”