PHP 开发团队近日发布了紧急安全更新，修复了两个可能导致未经认证远程代码执行的高危漏洞。此前，网络安全当局已警告相关组织应立即修补系统，或将暴露的应用程序暂时离线。
受影响版本与漏洞详情
此次更新涵盖 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 四个版本，主要解决编号为 CVE-2026-109618 和 CVE-2026-109619 的安全缺陷。这两个漏洞允许攻击者在无需身份验证的情况下执行远程代码。项目开发者强烈建议用户立即进行升级操作。
根据官方说明，所有处理 Web 请求的 PHP 安装环境均可能受到影响，具体包括采用 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 以及 LiteSpeed 等部署方式的系统。其中，mod_php 被认为风险最高，因为已有证明显示，未经认证的请求可以在任何应用程序代码运行之前触发攻击。
野外利用迹象与专家观点
watchTowr 威胁情报负责人 Jake Knott 指出，其团队已在监测到针对最新 PHP 漏洞的野外利用尝试。传感器捕获了多种由“vibecoded”生成的概念验证（PoC）攻击流量，其中包括带有特定“php2shell”用户代理的请求。尽管目前尚未观察到成功的攻击案例，但 Knott 认为这种状态不会持续太久。
Huntress 高级首席安全研究员 John Hammond 强调，由于 PHP 广泛支持 WordPress、Drupal、Joomla、Magento 等主流内容管理系统，以及共享托管平台和控制面板等众多软件，识别受影响的装置变得异常困难。“需要排查易受攻击 PHP 版本的地点数量正在迅速增加。”Hammond 表示。
机构响应与缓解措施
CERT-EU 在补丁发布前的一份咨询报告中将这两个漏洞的 CVSS 评分定为 9.2 分（严重级别）。该机构建议，如果组织无法立即完成补丁工作，应考虑将面向互联网的应用程序与公共网络隔离，直至修复可用。
作为预防性措施，部分政府及监管机构网站已暂时关闭。芬兰政府服务部门、荷兰议会以及网络安全和数据保护监管机构的网站均采取了下线处理。隐私倡导组织 noyb 也暂时撤回了其官方网站。
