PHP 两个高危漏洞在 10 月 21 日引发大范围警报。根据 W3Techs 的数据，在已知服务器端语言的网站中，PHP 运行着约 70% 的网站。芬兰已在周三开始下线政府网站，美国国家安全局建议所有使用 PHP 的机构关闭站点，荷兰和法国也采取了类似措施。报道指出，这并非网络战事件。
问题出在 PHP 本身。多数普通用户可能并不熟悉这门编程语言，但它长期运行在大量网站的服务器端。WordPress 安全公司 Wordfence 表示，所有 WordPress 网站都建立在 PHP 服务器之上，而报道发布时，Wordfence 自身也处于宕机状态。
这次新发现的两个漏洞允许外部攻击者在无需登录的情况下，在服务器上执行自己的命令。安全行业将其称为未认证远程代码执行。GoDaddy 警告称，这些漏洞可能被用于窃取数据、篡改网站页面，或直接接管服务器。GoDaddy 表示：「此类漏洞可能让攻击者通过互联网在受影响服务器上运行自己的代码，进而导致数据被盗、网站被篡改，或服务器被完全接管。」
PHP 基金会提前发出预警并发布补丁
资助 PHP 开发的非营利组织 PHP Foundation 在周二发出预警。该机构在 X 上表示：「PHP 安全团队提前通知：即将于 2026 年 10 月 21 日周三 14:00 UTC 发布安全更新，涉及两个高危漏洞，二者 CVSSv4 评分均为 9.2。建议 PHP 用户提前准备更新。如细节提前公开或出现活跃利用证据，发布时间可能提前。」
CVSS 即通用漏洞评分系统，分值范围为 0 到 10，9.0 及以上被归类为高危，因此这两个漏洞已接近最高风险等级。
修复版本在周三约 13:35 UTC 提前落地，分别为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。安全公告措辞直接，称「强烈建议所有 PHP 用户立即更新」。不过，补丁发布并不等于所有网站会同步完成部署，风险并未随公告立刻消失。
两个漏洞如何触发
第一个漏洞编号为 CVE-2026-109618，出现在 PHP 处理请求过程中内存耗尽的场景。系统在中途失败后，后续却把尚未构建完成的数据当作完整数据继续处理。第二个漏洞 CVE-2026-109619，则与请求结束后未被正确清理的内存残留有关，前一个访问者请求留下的数据可能被后续请求触发利用。
报道用一个比喻解释其原理：像厨师继续读取本该已经丢进垃圾桶的订单纸条，只要有人把伪造订单塞进去，厨师就会照着做。在这里，伪造订单就是攻击者代码，而执行者则是服务器本身。
PHP 表示，风险最高的环境是使用 Apache 常见配置 mod_php 的服务器。在这一配置下，已演示的利用方式会在「任何应用代码运行之前」触发。这意味着网站自身的防护措施，例如登录页或 WordPress 安全插件，根本来不及介入。
PHP Foundation 的研究人员还指出，PHP 的上传进度功能是已确认的入口之一。该功能用于跟踪文件上传进度，默认开启已超过 10 年，但实际使用它的网站并不多。
信息泄露后，厂商称已出现早期攻击
原本这些信息并不打算提前公开。周二，有人在 Hacker News 论坛发帖称，两个 PHP 漏洞将在周四披露，并承认自己「除了『信我，兄弟』之外没有证据」。结果这一说法被证实。安全公司 watchTowr 确认漏洞真实存在，且原本处于保密披露期，PHP 因而将发布时间提前了一天。
Cloudflare 首席技术官 Dane Knecht 在周三清晨、补丁发布前近 6 小时于 X 上写道：「我们已经看到早期攻击开始出现，并会随着新攻击路径出现持续更新缓解措施。」Cloudflare 已向全部客户推送紧急防火墙规则，用于拦截已知攻击模式，但 Knecht 同时强调，这些规则「只是临时止血措施」。
他还表示，位于 Cloudflare 之后的 PHP 网站已经部署了针对这些已知利用路径的首批 WAF 规则，且包括免费用户在内的所有客户都可使用。
多国机构临时下线网站
据芬兰公共广播公司 Yle 报道，芬兰国家 IT 中心 Valtori 已开始出于预防目的下线公共网络服务。荷兰国家网络安全机构则下线了自己的网站。
法国外交部表示，其省级行政网站「在框架发布方发布安全补丁前暂时下线」。
欧盟网络应急团队 CERT-EU 则建议，无法及时打补丁的机构应「考虑将面向互联网的应用与公共网络隔离，直到修复可用」。报道指出，这基本等同于要求相关系统断网。路透社称，澳大利亚、日本和英国的机构也发出了类似提醒。
社交平台流传信息有误差
X 上一些广泛传播的帖子称，受影响的 PHP 版本可追溯到 2004 年。这一说法源于早期估计，即 PHP 5 以来的所有版本都受影响，而 CERT-EU 也承认这一判断基于社交媒体帖子。
电商安全公司 Sansec 给出的范围是 PHP 5.4 及之后版本，也就是从 2012 年开始，而不是 2004 年。虽然时间范围缩短，但仍覆盖了相当老的版本。
PHP 官方目前只为 8.2 及以上版本提供正式发布，因此「旧版本没有修复」这一说法只说对了一半。鉴于本次漏洞严重，PHP 安全团队还额外发布了适用于 7.4、8.0 和 8.1 的简化源码补丁，多个 Linux 发行版也在自行回移修复。
安全公司 Mallory 统计显示，截至 10 月 20 日，约有 88.4 万台面向互联网的主机公开标识自己运行 PHP 8.1 或更旧版本，占约 150 万台公开显示版本主机的 59%。报道同时提醒，一台共享主机服务器可能承载多个网站，因此其背后实际网站数量会更高。
还有一些帖子把 Node.js 也算进同一轮风险中，但报道指出，Node.js 只是恰好在同一天安排了另一项无关的安全更新，两者并无关联。
PHP Foundation 还在声明中提醒，依赖志愿者维护的 rpms.remirepo.net 的用户应尽快转向发行版软件包或自行从源码构建，因为「该仓库今天不会提供更新」。这一仓库是 Red Hat 系 Linux 服务器上常见的 PHP 软件包来源。
为什么普通用户和加密用户也需要留意
报道认为，普通用户不必恐慌，但也不能忽视。一个被攻破的网站，即使不直接接触区块链，也可能成为清空钱包的入口。
报道举例称，2024 年攻击者曾将 DeFi 协议 Compound 和 Celer 的前端重定向到可盗取已连接钱包资产的页面，Curve Finance 在 2025 年也遭遇过类似攻击。虽然这些事件属于 DNS 劫持，并非 PHP 漏洞，但手法相似：页面看起来正常，网址也看起来正常，用户点击「批准」后，代币却被转走。若服务器被攻陷，同样可以提供这种伪装页面。
报道还提到，零日漏洞的发现正变得更容易。随着前沿 AI 模型越来越多地被用于寻找软件漏洞，Decrypt 在 6 月采访的专家认为，随着这些工具扩散，未来可能会出现更多漏洞。
补丁公开后，攻击窗口可能迅速打开
一旦补丁公开，攻击者就可以对比新旧代码，迅速定位修复点。网络安全公司 Sansec 的取证团队预计，「大规模攻击会在补丁发布后 15 分钟内开始」。报道还提到，2024 年 6 月另一项 PHP 漏洞公开后，Akamai 在 24 小时内就在其诱捕服务器上观察到利用尝试。
对普通用户来说，手机、浏览器和笔记本电脑本身并不需要安装 PHP 补丁，真正需要行动的是网站运营方。
如果你运营网站，报道建议联系托管服务商确认 PHP 是否已经更新，不要指望 WordPress 自动替你完成这一步。Wordfence 警告称，自动更新不会应用这次修复，并提醒站长确认究竟由谁负责更新服务器上的 PHP。仍在使用 8.1 或更旧版本的用户，需要规划升级。
PHP 核心开发者 Gina Peter Banyard 在 Mastodon 上表示：「我唯一能说的是，唯一的缓解措施就是给 PHP 打补丁或升级。我遗憾地知道得太多了。」
对于仍在使用 PHP 8.2 的用户，这次拿到的修复也是该版本生命周期后期的重要更新之一。报道称，PHP 8.2 将于 2026 年 12 月 31 日结束生命周期，届时将不再获得安全补丁。