PHP 修复两个 9.2 分严重漏洞，Cloudflare 称已出现早期攻击

全球的互联网安全和 Web 管理团队正在紧急行动，以防止大范围灾难发生。周三，广泛使用的 PHP 编程语言背后的开发者发布了紧急安全更新，旨在修复可能被利用来让攻击者危险地远程控制受害者系统的严重漏洞。

PHP 基金会详细说明了这两个严重漏洞——CVE-2026-109618 和 CVE-2026-109619——它们影响“所有处理 Web 请求的 PHP 安装”，最早可追溯到 2004 年 7 月发布的 PHP 5 版本。不过，根据该公告，目前只有 PHP 8.2 及更新版本仍受支持并将获得补丁。PHP 基金会同时指出，一些 PHP 发行版和第三方厂商仍在提供旧版本的修复程序。这一提醒意义重大，因为像 PHP 这样无处不在的基础 Web 层，可能会在历史悠久的互联网基础设施中被遗忘且未更新地长期存在。

“没有完整的缓解措施，更新是唯一安全的选择，”PHP 基金会在其公告中写道。安全专家警告说，忽视未打补丁的系统可能带来严重后果。

“这不是演习，”独立安全顾问、伦敦国王学院访问高级研究员 Lukasz Olejnik 说。自 20 世纪 90 年代开发以来，PHP 已发展成为 Web 开发的重要脚本语言，并被用于互联网上大量的网站和软件。从 WordPress 和 Drupal 等内容发布系统，到 Adobe 的 Magento 等电子商务平台，一切都建立在 PHP 之上。

Olejnik 将这种编程语言的广泛使用比作关键基础设施。

“影响是巨大的，”他在谈到 PHP 的安全漏洞时说，并补充说数百万系统可能受到影响。“尤其是如果攻击者迅速转向利用这些漏洞。最坏的情况是出现可蠕虫式传播的恶意软件，影响互联网的大片区域。”

安全团队和开发者最担心的是，恶意黑客可能会迅速利用这些漏洞，并在修复之前开始攻击已部署的系统。互联网基础设施公司 Cloudflare 报告称，在 PHP 基金会详细说明漏洞并发布修复程序之前，它已“看到早期攻击出现”。安全公司 Sansec 在修复程序发布前写道：“我们预计发布后 15 分钟内就会开始大规模攻击。”修复程序于美国东部时间周三上午 10 点前发布。

“大多数网站都运行在 PHP 上，而这个漏洞位于文件上传接口中，就像一扇没有锁的前门，”长期从事安全和合规咨询的 Davi Ottenheimer 说。“攻击者不需要知道他们攻击的是哪个网站，甚至不需要知道它运行的是什么软件。他们向任何能找到的服务器发送一个精心构造的上传请求，整个攻击就完成了。”

在 PHP 更新版本发布之前，一些组织作为预防措施将网站下线。据报道，芬兰政府的多个网站，包括国家土地测量局，无法访问。据路透社报道，法国政府网站和鹿特丹港网站也已下线。

“所有人都应立即打补丁，漏洞利用可能非常迅速且大规模发生，”Olejnik 说。“AI 使得利用此类漏洞变得迫在眉睫。确实，大约一分钟左右。”

由 Google 拥有的安全公司 Wiz 声称其研究人员部分使用 AI 工具发现了 PHP 中的漏洞，而 OpenAI 和安全公司 Calif 也表示他们独立发现了这些问题并进行了合作。Wiz 研究人员将一次漏洞利用演示命名为 php2shell，并写道在某些情况下这些漏洞可以被“相当容易地”利用。

Wiz 在其研究中写道：“这些漏洞可让未经身份验证的攻击者在受影响的服务器上执行代码或读取敏感的进程内存。该内存可能包含属于其他请求或服务器本身的密码、身份验证令牌、API 密钥和证书。”

即将发布的漏洞细节最早于 10 月 20 日由 PHP 背后的维护者披露。在 PHP 网站上的一篇简短文章中，PHP 基金会写道，它是在对安全漏洞和即将发布的修复程序进行“预先通知”。虽然省略了有关漏洞或受影响版本的具体细节，但该基金会表示，这两个漏洞在通用漏洞评分系统（CVSS）上的评分均为“严重”的 9.2 分（满分 10 分）。

在周三发布之前，PHP 网站上的安全警告表示：“如果任一漏洞的细节被公开，或者有证据表明存在野外主动利用，我们保留提前发布的权利。”据 Bleeping Computer 和 Ars Technica 报道，有关这些漏洞的一些细节可能在正式发布之前就已泄露。

PHP 基金会的提前警告可能已让一些开发者、安全团队和公司有足够的时间开始准备更新使用 PHP 的系统。在细节公布之前，欧盟计算机应急响应小组（EU-CERT）和澳大利亚网络安全机构的警告称，IT 团队应准备好尽快更新其系统，在应用修复程序期间网站可能会下线。

同样，英国国家网络安全中心（NCSC）发布了一份警报，称组织应“准备好立即更新”使用 PHP 的系统。该机构在网上写道：“如果无法立即修复，组织应考虑将系统下线，直到能够完全缓解为止。”

NCSC 建议组织和企业应识别其技术基础设施中运行 PHP 的系统。应特别关注连接到互联网的使用 PHP 的系统，包括监控它们是否存在任何潜在的利用行为。下一步是在 PHP 更新可用时应用更新，并监控软件公司的更新，因为它们的应用或服务中可能使用了 PHP。

FBI 网络助理局长 Brett Leatherman 在网上发帖称：“如果你发现入侵迹象，请隔离系统，保留 Web 服务器和 PHP 日志，并向当地的 FBI 外地办事处报告。这些报告有助于我们识别涉案行为者，并在其他组织成为受害者之前向他们发出警告。”