- PHP 官方针对两个严重远程代码执行漏洞发布紧急补丁，并呼吁用户立即更新
- 安全研究人员及 Cloudflare 在补丁发布前已监测到早期利用尝试
- 数百万面向互联网的 PHP 实例面临风险，尤其是仍在使用不受支持旧版本的系统
PHP 团队近日发布了针对两个关键远程代码执行（RCE）漏洞的安全补丁，并“强烈鼓励”所有用户尽快应用修复。
根据 PHP 发布的最新安全咨询报告，此次修复涉及 CVE-2026-109618 和 CVE-2026-109619 两个漏洞。前者为内存缺失处理错误，后者为使用后释放内存错误。这两个漏洞的 CVSS 评分均为 9.2/10，被定级为“危急”。
相关修复已包含在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 版本中。用户可通过 PHP 官方网站下载页面获取更新，Windows 系统的源代码及二进制文件均在该页面提供。此外，Linux 发行版及长期支持（LTS）供应商此前已提前收到补丁通知。
互联网基础设施受到冲击
作为全球最流行的 Web 编程语言之一，PHP 支撑着大量网站和 Web 应用程序的运行。
据路透社报道，为避免遭受攻击，欧洲多个政府、医疗保健及教育领域的网站决定暂时关闭服务。这一举措旨在防止网络罪犯利用漏洞发起攻击。
关于漏洞的具体影响范围，不同信源存在细微差异。Nextron Systems 研究负责人 Florian Roth 指出，这两个缺陷的危险程度实际上应评为 10/10。他同时澄清，只有 PHP 8 系列版本获得了正式修复，尽管有其他消息来源声称 PHP 5 也已被修补。
鉴于大量网站仍运行在过期且不受支持的 PHP 版本上，此次事件的影响面极为广泛。BleepingComputer 引用 VirusTotal 数据显示，目前在线暴露的 PHP 主机超过 510 万个，其中约 380 万个至少有一个端口处于开放状态。
PHP 官方表示，所有用于处理 Web 请求的 PHP 安装配置均面临风险，包括 PHP-FPM、带有 mod_php 模块的 Apache、php-cgi、FrankenPHP 以及 LiteSpeed。其中，mod_php 配置被认为风险最高，因为已有证据表明，未经认证的请求可在任何应用程序代码执行之前触发攻击。
旧版本支持与缓解措施
对于无法立即升级的用户，情况尤为严峻。Cloudflare 首席技术官 Dane Knecht 透露，该公司在 PHP 发布修复程序前数小时就已观察到“早期攻击迹象”，并随着新攻击载体的出现不断更新缓解策略。
考虑到漏洞的严重性，PHP 安全团队为 PHP 7.4、PHP 8.0 和 PHP 8.1 提供了最小化的源代码后端补丁。
PHP 官方建议，最安全的做法是立即更新 PHP 版本。对于暂时无法完成升级的系统，官方提供了一系列缓解措施，但强调这些并非完整的解决方案：
针对内存缺陷，维护者建议合理设置内存限制，并限制传入请求的大小（包括文件上传），以降低与内存相关的攻击风险。管理员还可利用容器限制机制，防止易受攻击的进程影响更广泛的系统稳定性。
针对使用后释放内存的问题，PHP 建议管理员禁用会话上传进度跟踪功能，并在 PHP 8.5 中开启致命错误的回溯记录。此外，还应修复可能引发崩溃或时序问题的应用程序错误，避免在应用程序完全初始化之前生成错误消息的过时配置。
