新闻
News Today
PHP爆发高危RCE漏洞，全球多国政府紧急预警
10月21日，PHP官方紧急发布安全更新，修复了两个代号为“PHP2Shell”的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），CVSS v4.0评分均为9.2。此次事件引发了FBI、NSA、CERT-EU、英国NCSC及加拿大Cyber Centre等多国安全机构的联合警告，荷兰与芬兰部分政府网站甚至采取预防性下线措施，日本首相亦公开呼吁尽快修补或暂停服务。鉴于PHP支撑着全球约75%的网站，包括WordPress、Drupal等主流应用，预计受影响联网主机超130万台。
漏洞原理与攻击路径
这两个漏洞均属于堆UAF（释放后使用）类内存缺陷，位于PHP请求生命周期的边界：
- CVE-2026-109618：利用内存耗尽（OOM）时的处理缺陷。当请求触发OOM提前退出时，清理阶段会将未初始化的“半成品”数据当作正常数据处理。
- CVE-2026-109619：Worker全局状态重置错误。同一Worker处理后续请求时，可能在初始化前访问到已释放的内存。
攻击者无需账号权限，也无需目标网站代码存在缺陷，仅需发送特制的multipart POST请求即可在Web Worker权限下实现RCE。随后攻击者可植入WebShell、窃取凭证、横向移动等。风险最高的部署方式为Apache mod_php，即便静态页面若嵌入PHP环境同样中招。PHP-FPM、php-cgi、FrankenPHP及LiteSpeed均在受影响之列。
AI加速漏洞利用，威胁等级升级
尽管漏洞底层逻辑存在多年，但此前未被证实可利用。Wiz研究团队指出，完整利用链极其复杂，接近人类研究者能力极限。然而，前沿AI模型（如谷歌Gemini）大幅降低了利用门槛，参与了从漏洞发现、利用程序开发到攻击检测的全过程，将理论风险转化为实际威胁。
"这些发现堪称PHP历史上、乃至整个软件史上最严重的漏洞之一。"——Wiz研究团队
目前，奇安信CERT已确认发现野外利用案例，漏洞细节曾于10月20日在社交平台流传。Cloudflare已为所有客户部署针对已知利用向量的WAF规则。
紧急修复指南与缓解措施
官方修复版本为：PHP 8.5.12、8.4.27、8.3.36、8.2.35。建议按以下优先级执行：
1. 资产盘点：全面排查对外网站、后台管理系统、内部业务系统、容器镜像及厂商设备，重点关注mod_php部署情况。
2. 优先升级：对外系统优先打上对应分支修复版本。Linux发行版用户请关注厂商公告，主版本号未变不代表未修复。
3. 重启服务：升级后必须重启所有PHP Worker（Apache、PHP-FPM池），容器需重建部署。务必通过phpinfo()确认Web SAPI实际运行版本，而非仅查看CLI版本。
4. 老旧版本处理：PHP 8.1及更老版本无官方正式修复，仅提供最小化源码backport（7.4/8.0/8.1）。建议联系发行版厂商获取补丁，或参照英国NCSC建议，无法修复的系统暂时下线。
5. 临时缓解：若无法立即升级，可关闭session.upload_progress、限制post_max_size及Web服务器层请求大小。注意这些措施仅能收窄攻击路径，不能替代升级。
事后排查提醒：打补丁仅能阻止新攻击，无法清除已入侵痕迹。补丁实施后，需检查Web目录中新增或被修改的.php文件、CMS中异常管理员账号，以及PHP/Web进程拉起Shell或外连的可疑行为，并保留相关日志。
来源：PHP 官方安全公告
