PHP 两个严重安全漏洞曝光后，多个国家的政府和安全机构已采取临时下线网站、隔离互联网服务等措施。PHP 基金会发布的预警显示，这两项漏洞的 CVSS v4 评分均为 9.2，攻击者无需登录，就可能在受影响服务器上执行恶意代码，甚至完全控制服务器。
据 Odaily 星球日报编译，昨晚，日本首相高市早苗也在 X 上发出「需要大家紧急应对的重大请求」，提醒外界关注 PHP 相关风险。此次事件并非网络战，而是 PHP 本身被披露出两项高危漏洞。由于 PHP 广泛用于网站服务器端环境，影响范围迅速扩大。
WordPress 安全公司 Wordfence 介绍，WordPress 网站背后都依赖运行 PHP 的服务器。问题在于，这次漏洞属于「未授权远程代码执行」，也就是攻击者不需要登录，就能直接在服务器上运行自己的命令。GoDaddy 警告称，这类漏洞可能被用于窃取数据、篡改网页，并让攻击者通过互联网在受影响服务器上执行代码，最终导致数据被盗或服务器被完全接管。
PHP 基金会提前发出警报，补丁已发布
负责资助 PHP 语言开发的非营利组织 PHP 基金会此前表示，PHP 安全团队原计划于 2026 年 10 月 21 日 14:00 UTC 发布安全更新，其中包含两个严重漏洞，两者 CVSS v4 评分均为 9.2，并建议用户提前做好更新准备。基金会同时提到，如果细节提前公开，或出现漏洞已被主动利用的证据，更新时间可能提前。
CVSS 是通用漏洞评分系统，分值范围为 0 到 10。按照该体系，9.0 分及以上已属于严重漏洞，因此这两项问题即便未达到满分，危险等级也已经很高。
随后，PHP 在周三提前几分钟发布修复版本，分别为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。官方确认，漏洞影响 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的 PHP 环境，其中 Apache mod_php 的风险尤其突出，因为攻击可以在应用程序代码运行前触发。
PHP 官方安全公告措辞直接，称「强烈建议所有 PHP 用户立即更新」。不过，补丁发布并不等于所有服务器已经完成修复，风险并未随公告同步消失。
两个漏洞如何运作
第一个漏洞编号为 CVE-2026-109618，出现在 PHP 处理请求时发生内存耗尽的情况下。此时，PHP 可能会把一份尚未完整构建的数据，当作已经完成的数据继续处理。
第二个漏洞 CVE-2026-109619，则与残余数据滞留内存有关。某个访问者请求留下的数据，本应被清除，却仍然停留在内存中，后续请求可能因此受到影响。
PHP 给出的解释可以概括为：服务器可能会读取本该被丢弃的数据，而攻击者如果把恶意内容塞进这些残余位置，服务器就可能把这些内容当成有效指令执行。对网站运营者来说，这意味着攻击者有机会在服务器层面下手，而不是只停留在应用层。
PHP 表示，采用 Apache mod_php 这一常见配置方式的服务器风险最高。已经演示的攻击甚至可以在「任何应用程序代码运行之前」执行。也就是说，网站自身的登录页、插件或其他应用层防护，可能还没启动，攻击就已经发生。
PHP 基金会研究人员还指出，PHP 的上传进度跟踪功能已经被确认是一种攻击入口。这个功能用于追踪文件上传进度，默认启用已有十多年，但实际使用它的网站并不多。
漏洞信息提前泄露，补丁发布前已出现早期攻击
按原计划，这两项漏洞的信息不应这么早公开。本周二，有人在 Hacker News 发帖称，两项 PHP 漏洞原定于当周周四披露，并承认自己除了「消息来源：信我就对了，兄弟」之外没有证据。后续发展显示，这一说法与实际情况相符。
安全公司 watchTowr 确认，两项漏洞确实存在，而且当时仍处于披露禁令期，也就是在修复方案准备好之前，各方约定暂不公开细节。之后，PHP 将更新时间提前了一天。
Cloudflare 首席技术官 Dane Knecht 周三凌晨在 X 发文称：「我们已经观察到早期攻击开始出现，并正在随着新攻击路径的出现，不断更新缓解措施。」这条消息发出时，距离补丁正式发布还有近 6 个小时。
Cloudflare 随后向所有客户推送紧急防火墙规则，用过滤器拦截已知攻击模式。不过，Dane Knecht 也强调，这些措施「只能作为临时应对手段」。
芬兰、法国、荷兰等机构临时下线网站
据芬兰公共广播公司 Yle 报道，芬兰国家 IT 中心 Valtori 出于预防目的，开始将公共网络服务下线。荷兰国家网络安全机构也关闭了自己的网站。
法国内政部表示，在相关框架发布方推出安全补丁前，各省政府网站已「暂时下线」。欧盟网络应急响应团队 CERT-EU 则建议，暂时无法安装补丁的组织应「考虑将面向互联网的应用程序与公共网络隔离，直至修复方案可用」。
随后，澳大利亚、日本和英国的相关机构也发布了大致相同的建议。用更直白的话说，就是先把面向公网的服务断开。
受影响版本范围仍在厘清，旧版本修复更棘手
X 上一些热门帖子称，PHP「自 2004 年以来的所有版本」都存在漏洞。这个说法来自早期估计，即 PHP 5 及之后的所有版本都可能受影响。CERT-EU 承认，这一估计依据的是社交媒体帖子。
电商安全公司 Sansec 的判断则是，受影响范围从 PHP 5.4 开始，覆盖此后版本。这意味着最早可追溯到 2012 年，而不是 2004 年，但涉及的软件版本依然相当老。
PHP 官方目前只为 PHP 8.2 及更新版本提供正式发布的版本更新，因此「旧版本没有修复方案」这一说法有一部分属实。考虑到漏洞严重性，PHP 安全团队还为 PHP 7.4、8.0 和 8.1 提供了精简的源代码补丁，各 Linux 发行版也在把修复程序回移到各自维护的版本中。
安全公司 Mallory 统计，截至 10 月 20 日，约有 88.4 万台面向互联网、对外显示 PHP 8.1 或更早版本的主机。这些主机约占公开显示版本信息的 150 万台主机的 59%。由于一台共享主机可能承载多个网站，实际受影响的网站数量可能更高。
还有一些帖子把 Node.js 也列为受影响对象。实际上，Node.js 是另一种不同的 Web 技术，只是恰好在同一天安排了与本次事件无关的安全更新，时间重合造成了混淆。
补丁公开后，攻击窗口可能很快打开
即便补丁已经发布，也不代表所有服务器都能立刻完成更新。PHP 基金会在声明中提到，如果用户依赖志愿者维护的 https://rpms.remirepo.net，建议现在切换到 Linux 发行版官方软件包，或者自行从源代码构建，以便立即应用更新，因为该软件包仓库当天不会发布更新。
这个仓库是一个较受欢迎的软件包来源，主要面向采用 Red Hat 风格的 Linux 服务器。对依赖这一渠道的站点来说，更新节奏可能慢于官方补丁节奏。
Sansec 的取证团队预计，「补丁发布后 15 分钟内就会开始出现大规模攻击」。类似情况并非没有先例。2024 年 6 月，另一项 PHP 漏洞公开后，Akamai 在 24 小时内就发现了针对其诱捕服务器的漏洞利用尝试。
PHP 核心开发者 Gina Peter Banyard 在 Mastodon 上表示：「我唯一能说的是，唯一的缓解措施就是为 PHP 安装补丁或升级 PHP。遗憾的是，我知道得太多了。」
普通加密用户要不要担心
对普通用户来说，风险不在于区块链协议本身会因为 PHP 漏洞被直接攻破，而在于你访问的网站前端如果被入侵，页面可能被替换成恶意版本，进而诱导你连接钱包、签名或批准转账。
文中提到，2024 年攻击者曾把 DeFi 协议 Compound 和 Celer 的前端页面重定向到恶意页面，诱导用户连接钱包并盗取资产。2025 年，Curve Finance 也遭遇了类似事件。虽然这些案例属于 DNS 劫持，而不是 PHP 漏洞，但攻击结果有相似之处：网站看起来正常，网址也未必异常，可用户点击的「批准」按钮，实际可能把代币发送到其他地址。
如果服务器本身被攻破，攻击者同样可以向访问者投放这种恶意页面。零日漏洞公开后，攻击手法往往会很快增加。
与此同时，发现漏洞本身也在变得更容易。文中提到，先进的人工智能模型正越来越多地被用于发现软件漏洞。6 月，专家曾向 Decrypt 表示，随着这些工具普及，未来可能会出现更多漏洞。
网站运营者和普通用户分别该做什么
普通用户的手机、浏览器和笔记本电脑，并不都需要安装 PHP 补丁。真正需要立即行动的，是运营网站和服务器的人。如果你运营网站，应尽快联系主机托管服务商，确认 PHP 是否已经更新。
Wordfence 已提醒，自动更新机制不会自动应用这次修复，网站所有者需要确认究竟由谁负责更新服务器上的 PHP，而不能默认 WordPress 会自动处理。
对于仍在使用 PHP 8.2 的站点，当前拿到的修复程序可能已是该版本最后几次修复之一，因为 PHP 8.2 将于 2026 年 12 月 31 日停止维护，之后不再获得安全补丁。仍在使用 PHP 8.1 或更早版本的用户，则需要制定升级计划。
对普通加密用户而言，现阶段不必立刻恐慌，但也不能掉以轻心。访问 DeFi、交易平台或钱包相关网站时，仍应留意页面是否异常，谨慎处理钱包连接和授权请求。此次事件的核心教训并不复杂：链上资产未必先被链上漏洞击中，很多时候，问题先出在你打开的那个网页。