界面新闻记者 | 宋佳楠
一个藏在大量网站底层的漏洞，正在触动全球网络安全防线。
10月22日，据国家网络安全通报中心消息，近日，开源编程语言PHP曝出两个严重安全漏洞（代号“php2shell”），漏洞编号为CVE-2026-109618、CVE-2026-109619。该漏洞可导致未经身份验证的远程攻击者通过发送特制POST请求，触发内存破坏并最终实现远程代码执行，从而获取服务器控制权限。漏洞影响PHP 8.5.x＜8.5.12、PHP 8.4.x＜8.4.27、PHP 8.3.x＜8.3.36、PHP 8.2.x＜8.2.35以及8.1以前版本。
另据国家信息安全漏洞共享平台（CNVD）消息，10月21日，平台收录了PHP远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619）。未经身份验证的远程攻击者可构造恶意HTTP请求触发内存错误，在特定条件下实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。目前，漏洞技术细节与PoC已广泛传播，CNVD建议受影响用户立即升级至最新版本。平台对该漏洞的综合评级为“高危”。
目前厂商发布的修复版本为PHP8.5.12、8.4.27、8.3.36、8.2.35。此外，该漏洞还影响Magento、WordPress、Drupal、Joomla、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart等基于PHP环境的主流CMS和框架。
今日，香港网络安全事故协调中心也在网站发布公告称，将多个PHP漏洞定为“极高度风险”，并警告称两个漏洞正在被广泛利用，可能导致远端程式代码执行。该中心建议各机构立即为所有受影响的资产套用修补程式。若无法即时修补，应考虑将面向互联网的应用程式与公共网络隔离，直至安全修补程式已套用并完成验证。
PHP是一种广泛使用的开源通用脚本语言，适用于Web开发并可嵌入HTML中。PHP解释器内核为全球多数Web应用运行提供了基础运行时环境，包括WordPress、Drupal、Joomla、Laravel等主流框架和内容管理系统。
W3Tech统计数据显示，当前可识别后端语言的公开网站里，约69.3%都在使用PHP，WordPress、Drupal、Magento这些全球主流建站系统，底层几乎全部依托PHP运行。
此次漏洞最早由安全研究人员借助AI工具协同发现。OpenAI、谷歌安全团队与安全厂商Calif 共同参与漏洞挖掘与验证工作，原本预定在固定时间统一发布补丁，相关信息意外提前泄露，迫使PHP基金会提前推出修复版本，将原定节奏打乱。
据央视新闻报道，Calif研究员、漏洞发现者赖恩·奥斯汀这样描述该漏洞的危害：“你可以把它想象成你的房子。在别人的网站上利用这个漏洞，本质上就像是进了前门，或者是房子的大门。现在他们就能进入房子的其余部分，可以在网络内部自由游走，还可以实施勒索软件攻击以及做各种极其糟糕的事情。”
据悉，此次修复工作规模巨大。共有近200个文件得到修正，开发人员在此过程中编写了超过1万行代码。
OpenAI现已提出分阶段漏洞响应框架，涵盖漏洞验证与修复、提前通知受影响机构、协调政府部门、推动相关产品更新及发布修复指南等环节，并承诺提供10亿美元的Daybreak补贴访问资源，帮助安全资源有限的机构加强防护。
谷歌云称，尽管其自身不受影响，但运行在谷歌云平台上的PHP应用仍可能面临风险。谷歌云敦促客户立即升级至PHP 8.2或更高版本，并部署已修复版本。
国内的云厂商也纷纷进行预警。腾讯云、阿里云等云服务厂商已发布漏洞通告，提醒相关用户尽快排查业务中PHP的使用情况，若在影响范围内，应第一时间完成更新或采取缓解措施。
此外，富士胶片（中国）投资有限公司发布通知称，鉴于PHP漏洞，为确保服务安全，旗下instax官网将进行系统维护与升级。
多国网络安全机构同步作出响应。英国国家网络安全中心发布警报说，广泛用于网站开发的PHP脚本语言存在严重安全漏洞，可能被攻击者利用。出于安全考虑，多国机构采取预防性措施，将网站临时下线。英国预算责任办公室暂时将其网站下线，芬兰临时关闭政府公共网络服务，荷兰网络安全机构也将其网站临时下线。
PHP早已是互联网的基石之一，其诞生于1994年，由拉斯姆斯·勒多夫开发，最初只是一套简单的网页脚本工具，经过三十年迭代，发展为成熟的开源服务器语言，主打上手简单、部署成本低、和MySQL数据库适配友好。
PHP并非第一次爆出影响广泛的高危漏洞。2024年曝光的CVE-2024-4577漏洞，同样属于远程代码执行缺陷，在Windows环境的PHP部署中极易被利用。当时全球大量搭载XAMPP集成环境的站点遭到批量入侵，黑产通过该漏洞批量植入网页木马、搭建钓鱼页面。
和过往漏洞相比，本次“PHP2Shell”的特殊之处在于，漏洞根源指向PHP底层内存管理的架构缺陷，影响覆盖8.2至8.5四个主流稳定分支，修复需要替换完整新版本，临时配置层面的缓解手段有限，给运维团队带来不小压力。
不过，央视报道中提及，网络安全专家称普通用户无需恐慌，因为PHP运行在服务器上，而非个人上网设备里。如果某个网站暂时打不开，可能是主动避险行为，个人信息是否受影响要看后续通知。若网站后续发布了数据泄露通知，用户可根据提示采取更换密码等安全措施。