PHP两项9.2分严重漏洞引发全球性安全警报

原创

小编
小编

首席安全官

2026年10月22日 18:28
北京

去阅读

点击上方蓝字，发现更多精彩

北京时间2026年10月21日晚，PHP发布紧急安全更新，修复两项可能导致未经身份认证远程代码执行的严重漏洞。两项漏洞编号分别为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2分，被研究机构统称为“PHP2Shell”。在满足相应条件时，攻击者无需账号密码，即可能在受影响服务器上以Web工作进程权限执行代码。

漏洞披露前后，欧洲多国部分政府、医院及公共服务网站采取预防性下线措施。与此同时，包括中国在内的各地网站运营者开始紧急排查，云平台和安全服务商部署防护，软件维护者推动补丁分发。

这场事件的特殊之处，在于它触及大量网站共同依赖的底层软件。W3Techs截至10月22日的统计显示，在能够识别服务器端编程语言的网站中，69.3%使用PHP。这一比例不代表全球约70%网站都能被成功攻击，却说明PHP核心缺陷可能波及极其广泛的网站与应用生态。

在紧急补丁公开之前，一场持续约两个月的非公开协调修复与防护准备已经展开。AI帮助研究人员验证了复杂缺陷的可利用性，也将一个更紧迫的问题摆到运营方面前：当漏洞研究与攻击开发加速，线上系统能否及时完成修复？

一、多国网站预防性下线，影响已经从技术风险传导至公共服务

10月21日，德国联邦IT服务机构ITZBund暂停了部分网站；法国部分地方政府网站暂时下线；荷兰鹿特丹港、政府门户及部分医院网站也采取了防范措施。芬兰国家IT服务机构Valtori则关闭了政府部分公共Web服务。相关措施主要用于在修复完成前降低暴露风险，并不意味着这些机构均已遭到入侵。

欧盟委员会相关部门、欧盟网络安全局ENISA、CERT-EU、欧洲刑警组织欧洲网络犯罪中心及成员国应急响应网络发布联合声明，要求立即识别和修补受影响系统，优先处理面向互联网的应用；无法及时修复时，应考虑将暴露的应用与公共网络隔离。

PHP广泛用于网站后端，也是WordPress、Drupal、Joomla、MediaWiki等系统的基础运行环境。此次漏洞位于PHP核心，因此，即使网站自身的业务代码没有相关缺陷，也可能受到影响。

这使事件超出了单个应用或单家厂商的范围。不同国家、不同行业的机构，可能因为共享同一种底层组件而同时进入应急状态。

预防性停服本身，就是已经发生的业务影响。即使没有数据泄露，暂停访问、紧急升级和恢复验证，也会消耗公共服务机构与企业的运营资源。

攻击风险也已出现现实迹象。Cloudflare披露，其观察到针对客户的攻击流量，以及试图绕过防护的载荷变化，并部署了结合请求与响应信号的防护措施。但攻击尝试与攻击成功需要区分，不能据此推定全球已经发生大规模失陷。

二、Calif、OpenAI与Wiz参与研究，约两个月协调争取修复窗口

此次漏洞研究的重要参与者包括网络安全研究公司Calif。

OpenAI披露，Calif在“Patch the Planet”计划支持下，借助GPT-5.6 Sol发现关键PHP缺陷，Wiz也独立发现并报告了两项漏洞。在过去约两个月中，OpenAI组织维护者、研究人员和安全服务商开展协调，PHP维护团队主导修复与发布，其他参与方提供研究、验证、技术支持及提前防护。

这段非公开工作时间十分重要。发现漏洞之后，还需要确认不同版本和部署的影响、设计修复方案、验证兼容性，并让发行版、云平台和安全服务商准备更新及保护措施。

两项漏洞都涉及PHP处理异常时的内存和内部状态：一项与内存耗尽后的不安全处理有关，另一项涉及请求结束后残留的失效状态。具体利用条件随部署方式、配置和应用行为而变化。PHP官方将所有处理Web请求的PHP安装纳入风险排查范围，其中Apache mod\_php已有在应用代码运行前触发攻击的演示。

Wiz表示，形成可工作的利用方法，需要连接多个缺陷，并针对不同目标的内存布局反复测试和调试，AI辅助降低了这些工作的成本。

AI没有制造这些软件缺陷，却帮助研究人员跨过了从“存在问题”到“可以实际利用”的距离。这也是此次事件的重要警示：过去因攻击链复杂而被认为难以利用的问题，可能随着研究工具进步而变得现实可行。

三、严重漏洞为何拖到今天：底层修复的难度与维护能力不足叠加

此次严重漏洞并非完全没有前兆。

PHP基金会披露，其中内存耗尽问题的早期迹象在2024年已经出现。当时没有找到具体攻击路径，而修复方案又涉及兼容性破坏、潜在拒绝服务风险及大量第三方扩展改造。团队难以决定取舍，加上熟悉引擎的开发资源有限，修复工作反复停滞。基金会将这一延误归因于决策流程和资源不足造成的结构性问题。

这揭示了基础软件安全的一处矛盾：使用者遍布全球，修复工作却可能依赖少量掌握核心代码的维护者；影响越广，兼容性要求越高，作出修复决定也就越困难。

同样的矛盾存在于企业内部。旧系统与特定运行环境绑定，升级可能影响业务；继续运行又积累风险。如果没有明确的决策责任、测试资源和升级计划，安全问题便容易长期挂起。

此次事件意味着，机构需要重新审视那些因为修复复杂、尚未出现成熟利用而持续延期的问题。“暂未证明可以利用”描述的是当前证据，不能成为长期搁置高风险缺陷的依据。

四、中国用户同样处于风险范围，防护上线不等于实例修复

国内也已启动响应。

10月21日，腾讯云发布“php2shell”风险通告，要求受影响用户及时自查和修复，并表示其主机安全、Web应用防火墙及云防火墙已支持相应检测或防护。上海交通大学网络信息中心也发布预警，要求优先排查互联网暴露的Web服务器、共享主机及控制面板、内容管理系统环境。

国内排查对象不能仅限于WordPress等海外开源系统。采用ThinkPHP等框架、国内建站产品或定制开发系统的机构，也应核查底层PHP。应用和框架升级，不能代替运行环境修补。

此次事件还暴露出第三方依赖带来的盲区。一些商业软件和管理界面可能在后台使用PHP，运营方并不知道其具体版本。ENISA因此特别提醒，应与托管和服务提供商协调，检查那些表面上看不出PHP依赖的产品。

云平台部署防护规则，也不意味着客户自行维护的PHP实例已经更新。自建环境需要运营方落实修复；托管建站、虚拟主机及外包系统，则需要服务商明确确认修复范围和完成状态。

截至本文所依据的公开信息，尚不足以确认中国发生了大规模入侵或集中停服，也没有可靠的全国受影响数量。国内风险能否及时收敛，最终取决于补丁是否到达分散的网站、第三方产品和长期运行的旧系统。

五、补丁发布之后，如何缩短从风险预警到实际修复的距离？

此次协调披露也经历了波折。PHP基金会称，漏洞编号提前流传后，团队将原定10月22日的发布提前至21日；随后Calif误发演示视频，进一步暴露有限细节，加速了外界对利用方法的研究。

补丁公开，意味着防守方获得修复方案，攻击者也可能获得分析线索。AI可能进一步缩短研究代码差异、开发和适配利用方法的时间。因此，补丁发布之后，尚未更新的系统仍处于紧迫的处置窗口。

当前官方修复版本为PHP 8.2.35、8.3.36、8.4.27和8.5.12。使用发行版或长期支持服务商软件包的机构，应依据供应商公告核实回移补丁状态，不能只比较上游版本号。官方强调，临时措施只能降低部分攻击路径的风险，完整修复仍需更新。

运营方当前应优先完成三项工作：清点实际处理Web请求的PHP及隐藏依赖；经过必要测试后更新，并确认线上实例已经生效；对无法及时修复的暴露服务采取隔离等措施，同时结合异常记录排查潜在入侵。补丁能够关闭漏洞，却不会自动清除此前可能留下的后门，英国NCSC也已就此提出排查要求。

更长期的问题，是资源有限的机构如何获得相应防御能力。

OpenAI此前于9月3日宣布“Daybreak for Frontline Defenders”计划，承诺提供价值10亿美元的使用补贴、培训、技术支持及合作，帮助安全资源不足、承担基本公共服务的组织提升防御能力。这是更广泛的防御支持承诺，并非此次PHP漏洞的专项修复支出。

这一方向具有现实意义：不仅大型科技企业和专业安全团队需要使用AI开展防御，承担供水、供电、医疗等公共服务、但缺少安全人员和预算的机构，也需要获得工具与技术支持，及时发现和修复系统漏洞。

一场全球性的基础软件安全事件，最终需要每个运营者完成修复。AI正在加快漏洞发现与利用的速度，组织能否及时完成资产识别、风险判断、测试更新和结果验证，将越来越直接地决定实际损失。

本文依据截至2026年10月22日已公开信息整理。

精彩回顾

• 六大原因让Mythos成为人工智能和全球安全转折点
• 全球知名安全投资人：“未来十年可能是网络安全最黑暗时期。”
• 不想被 AI 时代甩在身后？先搞懂这 30 个\"保命\"术语
• 帮乌克兰打赢网络战的首席分析师也未能幸免：AI大潮下这群“安全特种兵”被裁了
• 五眼联盟罕见联合发出预警：AI模型驱动的毁灭性网络攻击数月内或将发生

• 因网安与信息化问题，多家中央部门单位被国家审计署点名

• 全国网络安全等保测评机构最新名录

• 主流的SOC平台产品及行业实践

• CSO如何展示安全建设的商业价值？
• 避坑指南：安全负责人如何向高管层汇报
• 网络安全从业者需要了解的法律知识
• CSO应关注20个网络安全指标

（CSO安全主管群、产业群、市场群、安全意识...）

合作投稿，加群分享交流

请添加微信：CSOAlliance