PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，修复 CVE-2026-109618 和 CVE-2026-109619 两个漏洞，两者评分均为 9.2/10，可导致未授权远程代码执行。

由于相关细节提前曝光，芬兰、荷兰和法国出于预防考虑将政府网站下线，Cloudflare 也在补丁发布前数小时报告了攻击。美国国家安全局（NSA）建议使用 PHP 的机构关闭其网站，澳大利亚、日本和英国的机构也发布了类似指引。

大多数互联网用户无需安装任何东西。应用修复的责任在于网站运营者、托管公司以及维护 PHP 服务器的机构。PHP 8.1 及更早版本不再获得常规官方发布，但鉴于问题严重性，PHP 安全团队也为部分旧版本发布了有限的源代码补丁。

根据 W3Techs 的数据，PHP 运行着约 70% 服务端语言已知的网站。这种编程语言在服务器上运行，负责存储网站并生成访问者请求的页面。据 WordPress 安全公司 Wordfence 称，WordPress 网站通常依赖 PHP 服务器。

这两个漏洞可允许攻击者无需登录即可在 PHP 服务器上执行命令。此类缺陷被称为未授权远程代码执行。视服务器及其存储的数据而定，攻击成功可能暴露账户信息、地址、订单历史或其他敏感资料。

托管服务商 GoDaddy 警告称，这些漏洞可能让攻击者窃取数据、篡改网站或完全控制受影响的服务器。

“此类缺陷可让攻击者通过互联网在受影响的服务器上运行自己的代码，可能导致数据被盗、网站被篡改或被完全接管，”GoDaddy 在其安全更新中表示。

PHP 的安全公告

资助该语言开发的非营利组织 PHP 基金会于 10 月 20 日提前发出警告。其在 X 上发布的声明中表示：

“PHP 安全团队提前通知：将于 2026 年 10 月 21 日星期三 14:00UTC 发布安全更新，包含两个严重漏洞，评分均为 CVSSv4 9.2。建议 PHP 用户准备更新。若细节公开或出现活跃利用证据，将提前发布。”

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence. — The PHP Foundation (@ThePHPF) October 20, 2026

通用漏洞评分系统（CVSS）根据漏洞在互联网上被利用的难易程度和潜在影响等因素，将漏洞评级为 0 到 10 分。9.0 分及以上被归类为严重级别。

PHP 于 10 月 21 日约 13:35 UTC 发布了修复，比公告时间提前约 25 分钟。安全公告称：“强烈建议所有 PHP 用户立即更新。”在漏洞信息开始公开流传并出现攻击证据后，发布时间提前了一天。

漏洞的工作原理

CVE-2026-109618 在 PHP 处理请求过程中内存耗尽、随后将部分的数据视为完整数据时出现。CVE-2026-109619 则允许某个访问者请求的残留数据在应被丢弃后仍留在内存中，使后续请求可能与这些残留数据发生交互。

风险在使用 mod_php（一种常见 Apache 配置）的服务器上最高。PHP 表示，已演示的漏洞利用可在“任何应用代码运行之前”生效，这意味着网站自身的防御措施——如登录页面和 WordPress 安全插件——可能没有机会介入。

PHP 基金会的研究人员确认 PHP 的上传进度功能为已确认的入侵路径之一。该功能用于跟踪文件上传进度，十多年来一直默认开启，但实际使用它的网站很少。

更多技术信息可在 PHP 安全归档、watchTowr 分析以及 CVE-2026-109619 的 NVD 条目中查阅。PHP 文档也描述了相关的会话配置。

补丁发布前细节泄露

此次披露原本预计不会在计划发布之前发生。周二，一名用户在 Hacker News 论坛发帖称两个 PHP 漏洞将于周四披露，同时承认该说法“除了‘来源：相信我，兄弟’之外没有任何证据”。该帖子可在此处查看。

安全公司 watchTowr 后来确认这些漏洞属实并受 embargo（在修复就绪前对技术细节保密的协议）约束。PHP 随后加快了发布。

Cloudflare 首席技术官 Dane Knecht 周三凌晨在 X 上表示攻击已经开始，比补丁发布早了近六小时。Cloudflare 向其客户（包括免费计划客户）部署了紧急 Web 应用防火墙规则，但 Knecht 称这些规则只是临时措施。

“PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. We are seeing early attacks emerging and are updating mitigations as new vectors show… — Dane Knecht 🦭 (@dok2001) October 21, 2026”

原帖也可在 Dane Knecht 的 X 账户查看。

各国政府将网站下线

据公共广播机构 Yle 报道，芬兰国家 IT 中心 Valtori 开始出于预防考虑将公共网络服务下线。荷兰国家网络安全机构也关闭了其网站。

法国内政部表示，其省内政厅网站已被“暂时下线，等待该框架发布方发布安全补丁”。

欧盟网络安全应急团队 CERT-EU 告知无法应用补丁的机构“考虑将面向互联网的应用与公共网络隔离，直至修复可用”。

据路透社报道，澳大利亚、日本和英国的机构发布了类似指引。路透社的报道还提到，在运营者准备安装修复期间，网站可能需要下线。

关于受影响 PHP 版本的说法

X 上流传的帖子声称可追溯至 2004 年的 PHP 版本均受影响。这一说法源自早期估计，即自 PHP 5 以来的所有版本都受影响，CERT-EU 承认该评估基于社交媒体帖子。

电商安全公司 Sansec 估计受影响范围为 PHP 5.4 及以后版本，即从 2012 年算起而非 2004 年。PHP 官方仅为 8.2 及更新版本提供当前发布。不过，鉴于这些漏洞的严重性，安全团队还发布了针对 PHP 7.4、8.0 和 8.1 的基础源代码补丁，同时 Linux 发行版开始独立移植修复。

安全公司 Mallory 统计，10 月 20 日约有 884,000 个对外网开放的主机声明运行 PHP 8.1 或更旧版本，占公开显示版本号的约 150 万台主机中的 59%。受影响的网站数量更高，因为一台共享托管服务器可承载多个网站。Mallory 的研究可在此处查阅，Sansec 的分析可在此处查阅。

一些网络帖文还将 Node.js 混入讨论。Node.js 是另一种独立的 Web 技术，只是恰好在同一天安排了与之无关的安全更新。

PHP 基金会警告，补丁版本不会同时覆盖所有服务器。其在声明中表示：“如果你依赖志愿者维护的 Red Hat 系 Linux 服务器的志愿者维护的 PHP 软件包来源。该软件包仓库可在 访问。

对网站和数字资产的潜在影响

一个被入侵的网站无需直接接触区块链即可威胁用户的数字资产。2024 年，攻击者将 DeFi 协议 Compound 和 Celer 的前端重定向到旨在清空所连接钱包的页面；Curve Finance 在 2025 年也遭受了类似攻击。这些事件涉及 DNS 劫持而非 PHP 漏洞，但对访问者而言结果可能类似：网站和 URL 看起来合法，而“批准”操作却将代币发送到别处。

一个被入侵的 PHP 服务器可能被用来提供此类欺诈页面。创业者 @levelsio 也在 X 上讨论了易受攻击的网络基础设施与加密货币被盗之间的关联，他表示在等待补丁期间已断开其网站和虚拟专用服务器。

“I pre-emptively disconnected ALL my sites / VPS servers from the web I'll wait for the patch to hit at 2 PM UTC If you have a PHP website, probably good to take them down until you patch PHP 69.3% of the web runs on PHP so this is going to be intense! Good time maybe to buy… — @levelsio (@levelsio) October 21, 2026”

该帖子也可在 X 上查看。Decrypt 早期关于 Compound 和 Celer 事件以及 Curve 攻击的报道可分别在此处和此处查阅。

这些漏洞出现之际，前沿人工智能模型正被越来越多地用于发现软件缺陷。专家在 6 月接受 Decrypt 采访时表示，随着此类工具的普及，可能发现更多漏洞。Decrypt 的报道可在此处查阅。

网站运营者应采取的措施

补丁公开后，攻击者可通过对比漏洞版本与修复版本来确定更改内容。Sansec 的取证团队表示，预计“补丁发布后 15 分钟内将开始大规模攻击”。2024 年 6 月另一个 PHP 漏洞被披露后，Akamai 在 24 小时内就记录到针对其诱饵服务器的利用尝试。Akamai 的分析可在此处查阅。

手机、浏览器和个人笔记本电脑无需 PHP 更新。这项工作落在运营网站和服务器的机构身上。网站所有者应向托管服务商确认 PHP 是否已更新，并明确谁负责维护服务器。

Wordfence 警告，WordPress 自动更新不会应用此修复。因此，网站所有者需要确认 PHP 本身已打补丁，而不能假设更新 WordPress 就能解决问题。

PHP 核心开发者 Gina Peter Banyard 在 Mastodon 上表示：“我唯一能说的是，唯一的缓解措施就是修补/升级 PHP。”她补充道：“可惜我知道得太多了。”该帖子可在此处查阅。

运行 PHP 8.1 或更旧版本的机构需要规划升级，因为这些版本不再获得常规官方发布。PHP 8.2 用户也面临临近的截止日期：PHP 8.2 将于 2026 年 12 月 31 日停止支持，此后将不再获得安全补丁。