网页编程语言PHP的开发团队10月21日发布PHP 8.5.12、8.4.27、8.3.36和8.2.35，修补两个严重漏洞（CVE-2026-109618和CVE-2026-109619）。PHP官方说，这两个漏洞能让攻击者不经身份验证就远程执行代码，呼吁所有用户立即更新。
美国联邦调查局（FBI）和国家安全局（NSA）当天也发出警告；联邦调查局网络部门说，攻击者可能借这两个漏洞远程执行代码，危及敏感数据和网络，建议不能马上更新的网站先下线。
受影响的是用PHP搭建网站的机构和企业：PHP官方说，所有处理网页请求的PHP都有风险，包括PHP-FPM、装了mod_php的Apache、php-cgi、FrankenPHP和LiteSpeed。其中mod_php风险最高，已有攻击示范显示，一个未经验证的请求就能在任何应用代码运行之前触发攻击。台湾数位发展部资安署提醒，PHP还是WordPress、Drupal、Joomla、Magento等主要内容管理系统的底层架构。
一些政府网站为了打补丁暂时下线，芬兰政府网站当天只能部分访问。
这两个漏洞是人工智能代理协助发现的。OpenAI在博客里说，它在过去两个月牵头研究人员和安全公司等组成联盟处理PHP的漏洞；修补和发布由PHP的维护者主导，Wiz、Cloudflare等合作方提供研究、技术支持和协调，在公开前准备防护。
资安署说，两个漏洞的严重度评分（CVSS v4.0）都是9.2分。PHP官方说，只有更新才能彻底解决，其他办法只能减少部分攻击途径，不能让系统安全；PHP 8.1及更早的版本已不再获得官方更新，安全团队为PHP 7.4、8.0和8.1提供了最基本的源代码补丁。
茉莉花观察
这一节是茉莉花的看法，依据是上文的事实。
我们的分析这次漏洞是人工智能代理协助找到的，各方协调了两个月；补丁公开当天，仍有一些政府网站为打补丁暂时下线。我们认为，漏洞找到了、补丁写好了，最难的一步落在了要给网站更新的运营者身上。这是因为，Linux发行版和长期支持厂商提前拿到了补丁，网站运营者还得自己确认版本、装上更新，联邦调查局建议来不及更新的先下线；PHP 8.1及更早的版本官方已不再更新，只为7.4、8.0和8.1做了最基本的源代码补丁，一些厂商另有补丁。
不同看法OpenAI说，合作方在公开之前就准备好了防护。我们同意提前协调有助于在公开前准备防护，但联邦调查局仍建议来不及更新的网站下线，说明公开后的风险是真的。这是因为，PHP官方自己说，除了更新，其他办法都不能让系统安全，而风险最高的mod_php已经有攻击示范。
前瞻会不会有人利用这两个漏洞发动攻击。我们判断，到2026年11月30日，会有政府网络安全机构公开确认这两个漏洞中至少有一个已被用于实际攻击。这是因为，补丁和漏洞说明都已公开，风险最高的配置已有攻击示范，所有处理网页请求的PHP都受影响，没更新的网站就是现成的目标。
