「大厂乐乎报道」PHP2Shell高危漏洞公开多国紧急修复

10月21日，PHP官方发布安全更新，修复两个被合称PHP2Shell的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），CVSS评分均为9.2。未授权攻击者可通过特制请求远程控制服务器，多国政府和网站因此预防性下线或紧急升级。[2][7][5]

补丁在泄露后提前一天上线

PHP是广泛使用的开源服务器端脚本语言。W3Techs统计，在可识别服务端技术的网站中，69.3%使用PHP；WordPress、Drupal、Joomla和维基百科的MediaWiki等均建立在其上。此次两个漏洞位于PHP解释器的内存管理，与网站自身代码质量无关。Wiz称，即使页面只输出一行“Hello World”，只要底层PHP版本受影响，也可能中招。[5][6][9]

攻击者无需账号密码，发送特制multipart POST请求即可触发。漏洞涉及内存耗尽异常退出后的无效状态，以及工作进程跨请求未完全重置的全局状态，可造成内存破坏并最终远程执行代码。在Apache常见的mod_php部署下，攻击可能在网站自身代码运行前触发；成功利用可导致服务器完全沦陷、敏感数据泄露或恶意软件植入。[2][5][9]

PHP官方10月21日发布8.5.12、8.4.27、8.3.36和8.2.35，低于对应版本号的8.2至8.5分支安装受影响；官方修复分支只覆盖8.2至8.5，8.1及更早已停止维护。[4][5][7][8]

原计划10月22日协调披露，但10月20日Hacker News出现帖子称两个漏洞评分10.0，watchTowr确认属实并复现其中一个；PHP团队将补丁发布提前到10月21日14:00 UTC。补丁发布前近六小时，Cloudflare首席技术官Dane Knecht称已看到早期攻击。[4][5][7][8]

多国政府与游戏服务预防性下线

荷兰国家网络安全中心官网一度关闭，荷兰DigiD、MijnOverheid和政务门户暂停；芬兰政府部门关闭部分在线服务；法国内政部让省政府网站暂时下线；德国联邦IT服务商、比利时外交部、维基媒体基金会和任天堂也停掉部分服务。[4][5]

日本方面，pixiv、Niconico、BOOTH等平台宣布紧急维护，《碧蓝幻想》《公主连结》《赛马娘》《命运-冠位指定》等游戏以及任天堂Switch网络服务也在维护行列，寿司郎小程序暂停运行。日本首相高市早苗发文，呼吁企业尽快安装补丁，必要时暂停服务。[1][5][6][10]

美国国家安全局、英国国家网络安全中心、欧盟CERT-EU建议，无法及时打补丁的系统先下线。澳大利亚信号局发布警告，部分政府网站在修复期间保持无法访问；中国香港地区和新加坡的网络安全机构也发布警告，阿里云和腾讯云提醒客户升级。[4][10][2]

中国工信部网络安全威胁和漏洞信息共享平台（NVDB）发布风险提示，列出受影响版本，建议立即排查升级，或采取临时下线、关闭会话上传进度功能、网络隔离和访问限制等措施，并及时修改账号、口令和密钥。[8]

AI参与发现，防御窗口被压缩

在OpenAI“Patch the Planet”计划下，安全公司Calif研究员Ryan Austin借助GPT-5.6 Sol审计PHP，8月1日找到第一条可利用路径，8月11日报告PHP团队；OpenAI同日独立报告同一根因。[4][6][7]

Wiz则在8月19日借助Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol独立发现漏洞，随后在Drupal和WordPress上验证无需登录的远程代码执行。[4][6][7]

Calif称，初次发现没有依赖特殊工具，也没有使用公众拿不到的模型；Ryan强调，对目标历史的了解决定追查方向。Wiz称，一名研究员一周完成了过去需要世界顶尖团队数月的工作。OpenAI则称，这是前沿AI在攻击者之前发现高危漏洞的案例，但也承认同样能力可能被攻击者用于更快开发攻击工具。[4][5][7]

旧版本和长尾站点仍暴露

补丁覆盖范围有限。W3Techs同日数据显示，全部PHP网站中27.0%仍跑PHP7.x，7.7%跑PHP5.x，这些版本已停止维护。安全公司Mallory统计，补丁发布前一天约88万台服务器仍显示PHP8.1或更老；Censys数据显示，全球260万台运行PHP的主机中约150万台在报道时尚未打补丁。[5][4][3]

PHP基金会执行董事Elizabeth Barron对媒体表示，团队只有一名全职员工，另有约14名兼职承包商。2024年外部审计时，开发者已注意到内存耗尽处理隐患，但当时无法证明可利用，修复方案又可能影响兼容，问题被搁置；基金会后来称之为“结构性失败”。由于人手不足，相关修复数月间反复停滞和重启。[12][5][6]

防护和排查工具已上线。腾讯云称T-Sec主机安全已支持漏洞检测，Web应用防火墙和云防火墙支持防护；Cloudflare称其WAF规则对包括免费版在内的全部客户默认生效，但强调是临时措施。OpenAI发布Codex技能供检查PHP版本，但只能查版本，不能替代升级。[2][5][9][7]

OpenAI同时宣布投入10亿美元，通过Daybreak for Frontline Defenders向安全资源有限的关键服务组织提供补贴访问。[2][5][9][7]