← 轻量版首页 · 科技
PHP两个严重漏洞公开前已有人尝试攻击 中国、英国和新加坡相继发出警告
茉莉花综合报道 · 2026年10月22日 05:13
更新 · 10月22日 18:30 · 10月22日 18:30 更新：补上亚马逊发现漏洞公开前四天就有攻击尝试、现在漏洞正被广泛利用，以及中国工信部、英国和新加坡网络安全机构的警告和多国政府网站预防性下线。；标题相应修改。原标题：《PHP爆两个严重漏洞 美国联邦调查局建议来不及更新的网站先下线》
更新 · 10月22日 05:13 · 10月22日 05:13 首发。
网页编程语言PHP的开发团队10月21日发布PHP 8.5.12、8.4.27、8.3.36和8.2.35，修补两个严重漏洞（CVE-2026-109618和CVE-2026-109619）。PHP官方说，这两个漏洞能让攻击者不经身份验证就远程执行代码，呼吁所有用户立即更新。
美国联邦调查局（FBI）和国家安全局（NSA）当天也发出警告；联邦调查局网络部门说，攻击者可能借这两个漏洞远程执行代码，危及敏感数据和网络，建议不能马上更新的网站先下线。
受影响的是用PHP搭建网站的机构和企业：PHP官方说，所有处理网页请求的PHP都有风险，包括PHP-FPM、装了mod_php的Apache、php-cgi、FrankenPHP和LiteSpeed。其中mod_php风险最高，已有攻击示范显示，一个未经验证的请求就能在任何应用代码运行之前触发攻击。台湾数位发展部资安署提醒，PHP还是WordPress、Drupal、Joomla、Magento等主要内容管理系统的底层架构。
一些政府网站为了打补丁暂时下线，芬兰政府网站当天只能部分访问。
亚马逊的威胁情报团队10月21日说，它的蜜罐10月17日、也就是漏洞公开前四天，就记录到一次利用这两个漏洞的攻击尝试，来自一个商业匿名网络的IP地址；公开前几个小时又有多次攻击尝试，补丁发布后几小时内又出现新的攻击示范，现在这两个漏洞正被广泛利用。亚马逊说，还不清楚攻击者怎么提前拿到漏洞信息，也不清楚这些尝试在真实系统上会不会成功。
多国政府也相继发出警告。中国工业和信息化部网络安全威胁和漏洞信息共享平台发出风险提示，说未经身份验证的攻击者可以远程执行任意代码，造成服务器受控、敏感信息泄露和业务中断，建议相关单位和用户立即全面排查、升级到最新版本，暂时不能升级的可以临时下线、关闭会话上传进度功能、隔离网络或限制访问。英国国家网络安全中心10月21日发出警报，敦促机构立即升级，来不及修复的考虑暂时关闭受影响的网站；新加坡网络安全局呼吁各机构立刻排查所有运行PHP的系统，优先处理可以直接从网络访问的系统。日本、芬兰、荷兰和法国的部分政府网站已经预防性下线。
这两个漏洞是人工智能代理协助发现的。OpenAI在博客里说，它在过去两个月牵头研究人员和安全公司等组成联盟处理PHP的漏洞；修补和发布由PHP的维护者主导，Wiz、Cloudflare等合作方提供研究、技术支持和协调，在公开前准备防护。
资安署说，两个漏洞的严重度评分（CVSS v4.0）都是9.2分。PHP官方说，只有更新才能彻底解决，其他办法只能减少部分攻击途径，不能让系统安全；PHP 8.1及更早的版本已不再获得官方更新，安全团队为PHP 7.4、8.0和8.1提供了最基本的源代码补丁。PHP官方还说，Linux发行版和长期支持厂商已提前拿到补丁，用户可以向供应商查询更新的软件包；一些发行版和长期支持厂商另外为旧版本提供移植过去的修复，用户可以向供应商了解，或者升级到仍受支持的版本。
茉莉花观察
我们的分析：这次漏洞是人工智能代理协助找到的，各方协调了两个月；补丁公开当天，仍有一些政府网站为打补丁暂时下线。我们认为，漏洞找到了、补丁写好了，最难的一步落在了要给网站更新的运营者身上。这是因为，Linux发行版和长期支持厂商提前拿到了补丁，网站运营者还得自己确认版本、装上更新，联邦调查局建议来不及更新的先下线；PHP 8.1及更早的版本官方已不再更新，只为7.4、8.0和8.1做了最基本的源代码补丁，一些厂商另有补丁。
不同看法：OpenAI说，合作方在公开之前就准备好了防护。我们同意提前协调有助于在公开前准备防护，但联邦调查局仍建议来不及更新的网站下线，说明公开后的风险是真的。这是因为，PHP官方自己说，除了更新，其他办法都不能让系统安全，而风险最高的mod_php已经有攻击示范。
接下来要看什么：政府网安机构会不会确认攻击。我们判断，到2026年11月30日，会有政府网络安全机构公开确认这两个漏洞中至少有一个已被用于实际攻击。这是因为，补丁和漏洞说明都已公开，风险最高的配置已有攻击示范，所有处理网页请求的PHP都受影响，没更新的网站就是现成的目标。