PHP曝两个严重漏洞，美安全机构敦促立即更新或下线

2026年10月21日，PHP 开发团队发布紧急安全更新，修复了两个被评为“严重”级别的漏洞。美国国家安全局（NSA）与联邦调查局（FBI）同日发出警告，敦促所有使用 PHP 的机构立即安装补丁，无法及时更新的系统应暂时下线。这两个漏洞编号为 CVE-2026-109618 与 CVE-2026-109619，CVSS 4.0 严重程度评分为 9.2，攻击者无需登录即可在服务器上远程执行恶意代码。路透社 10 月 22 日报道，已监测到数百万次针对该漏洞的黑客攻击尝试，多家网站为防范攻击主动下线，其中包括部分政府网站。

事件经过

据 PHP 基金会官方博客披露，两个漏洞的 CVE 编号早在 10 月 20 日就在网上提前流传，当时附带了错误的发布时间与 10.0 的错误严重程度评分，而实际评分为 9.2，且当时并无任何技术细节公开。报告漏洞的公司之一 Calif 随后误将概念验证视频公开发布，另一家安全公司 Chainguard 则在约定时间六小时之前提前发布了补丁镜像，打乱了协同披露的节奏。

10 月 21 日，PHP 开发团队正式发布安全更新，修复版本覆盖 8.2 及以上版本。这两个漏洞被安全媒体称为“PHP2Shell”，因为它们都存在于 PHP 语言核心之中，而非某个网站自身的代码里，任何运行未修复版本 PHP 的服务器都可能暴露。更新发布后仅数小时，可用的攻击代码便开始在网上流传。币安创始人赵长鹏当日在社交平台 X 发文称，野外已确认出现针对这两个漏洞的利用攻击，并提醒网民未来几天访问任何网站都要格外小心，因为并非所有网站管理员都会及时安装安全补丁。亚马逊威胁情报团队也报告了野外的大规模利用活动。安全专家建议各机构将服务器日志回查至 10 月 17 日，以确认是否已经遭到入侵。

由于攻击者无需任何登录凭证即可利用漏洞，一台尚未打补丁的服务器可能在管理员毫无察觉的情况下被完全接管，进而成为窃取访客账号密码或传播恶意软件的跳板。这也是美国安全机构此次措辞异常严厉、直接建议“更新或下线”的原因。

补丁落地的同时，全球网站开始出现连锁反应。路透社报道称，多家网站为防范攻击主动下线，其中包括部分政府网站；The Verge 报道称，4chan、DeviantArt 与维基百科等站点出现了服务问题。PHP 基金会在博客中坦言，正式发布时尚未发现可用的攻击代码，但 CVE 编号与错误评分的提前泄露，加上概念验证视频与补丁镜像的抢跑，极大压缩了防守方的应对窗口。

赵长鹏在 X 上的原话是：“别说我多疑，未来几天访问任何网站都要格外小心，因为有些网站管理员不一定及时更新安全补丁。”他解释说，由于利用这些漏洞不需要登录，一个看似普通的网站也可能成为窃取访客凭证或入侵设备的通道。安全媒体则提醒，只要网站运行在 WordPress、Drupal、Laravel 或任何自研 PHP 应用之上，且底层 PHP 尚未更新，就都在影响范围内；漏洞存在于 PHP 语言核心而非网站自身的代码，站长无法通过修改网站代码来规避，只能升级 PHP 本身。

从时间线看，防守方的节奏从一开始就被打乱：10 月 20 日 CVE 编号与错误评分提前泄露，Calif 误发概念验证视频，Chainguard 提前六小时发布补丁镜像，10 月 21 日官方更新发布后数小时攻击代码即开始流传。PHP 基金会承认，正式发布时尚未发现可用的攻击代码，但一连串抢跑让补丁尚未普及、攻击尝试就已开始。有安全媒体将此次事件称为“PHP2Shell”，并指出这是近年来针对互联网基础设施最严重的漏洞事件之一。

各方反应

NSA 网络部门在 X 上发文称：“即刻生效，所有在系统中使用 PHP 的机构都应准备好安装修复两个严重漏洞的更新。”该部门表示，PHP 被广泛用于网页应用，这些漏洞可能为攻击者提供直达服务器文件系统的路径。

FBI 网络部门同样在 X 发布警告，指出两个漏洞“可让恶意网络行为者在 PHP 核心中远程执行代码，可能危及敏感数据与网络”，并建议系统管理员留意 PHP 进程异常启动命令解释器的迹象。若无法立即打补丁，FBI 与 NSA 一致建议将受影响系统暂时下线，以切断攻击路径。

美国网络安全和基础设施安全局（CISA）与英国国家网络安全中心（NCSC）也加入了敦促立即更新的行列。云服务商 Cloudflare 表示，已在漏洞公开之前为客户开启了默认防火墙防护，试图在补丁普及前挡住第一波扫描与攻击流量；多家托管服务商则连夜为客户的服务器安装补丁，与时间赛跑。

日本的反应同样迅速。首相高市早苗 10 月 22 日在 X 上发文，称“今晚有一个紧急请求希望大家行动”，要求各机构确认公开网站是否使用 PHP，并尽快安装定于日本时间 10 月 21 日晚 11 点发布的补丁。她表示，若难以及时修复，暂时停止网站服务是降低风险的有效办法；日本国家网络安全战略本部（NISC）也在 X 上同步发布了相关提醒信息。

背景影响

PHP 是全球使用最广泛的网页编程语言之一。据 W3Techs 估计，近 70% 的网站使用 PHP 构建，其中包括大量基于 WordPress、Drupal 与 Laravel 搭建的站点。因此多家媒体报道称，高达 70% 的网站可能受到这两个漏洞的影响。Palo Alto Networks 旗下 Unit 42 的遥测数据显示，互联网上约有 2260 万个暴露在外的 PHP 实例。

据路透社报道，PHP 开发团队表示，其中一个漏洞早在 2024 年就已被发现，长期潜伏而未被察觉。多家媒体报道称，这两个漏洞是借助 AI 工具发现的；CBS 援引《华尔街日报》的报道称，OpenAI 的研究人员发现了其中一个漏洞。英国广播公司（BBC）形容，这是潜伏多年的漏洞所引发的一次罕见的全球协同响应。

值得注意的是，WIRED 报道称，黑客在补丁正式发布前数日就已开始利用这些漏洞，实际入侵规模目前尚不清楚。据媒体报道，OpenAI 在官方博客中表示，这是其近年来处理过的最具影响的安全问题之一；协调披露机制本为防守方争取到了一个应对窗口，但编号泄露、视频误发、镜像抢跑等一系列意外让这个窗口大幅缩水。安全专家指出，事件也暴露了开源基础软件维护的系统性难题：PHP 支撑着全球近七成网站，其安全响应却高度依赖有限的核心维护力量。

对网站运营者而言，除立即更新 PHP 之外，还应检查 10 月 17 日以来的服务器访问日志与进程记录，留意是否存在 PHP 进程异常启动命令解释器的情况；如发现入侵痕迹，应按应急响应流程隔离主机、轮换密钥并评估数据影响范围。对普通网民而言，未来几天应避免在不熟悉或长期未更新的网站输入账号密码，警惕异常弹窗与下载提示，待各网站完成更新后再恢复正常使用。

本次官方修复覆盖 8.2 及以上版本，仍在运行更早版本的站点需要尽快升级到受支持的版本才能获得保护。业界预计，未来几天针对这两个漏洞的扫描与攻击尝试还会继续增加；在补丁完全普及之前，“更新或下线”仍是各机构最稳妥的选择。

关于“高达 70% 网站可能受影响”的说法，需要说明的是，这一数字源于 PHP 的市场占有率估算，而非已确认被入侵的比例。W3Techs 的统计指的是使用 PHP 构建的网站占比，实际风险取决于各站点是否及时安装了补丁；Unit 42 遥测到的 2260 万个暴露实例，则是互联网上可直接探测到的未修复 PHP 服务数量。两者口径不同，但都指向同一个结论：需要打补丁的基数非常庞大。

权威一手来源

本文依据以下权威一手来源编译：美国国家安全局网络部门（NSA Cyber）2026年10月21日声明；联邦调查局网络部门（FBI Cyber Division）2026年10月21日声明；PHP 基金会官方博客；美国网络安全和基础设施安全局（CISA）公告；英国国家网络安全中心（NCSC）公告；路透社 2026年10月22日关于数百万次攻击尝试的报道；The Verge 关于部分网站服务受影响的报道；CBS 关于 OpenAI 研究人员发现漏洞的报道（援引《华尔街日报》）；WIRED 关于补丁发布前已出现利用的报道。

核验日期：2026-10-22

免责声明

本文内容编译自公开新闻报道，仅供信息参考，不构成任何专业建议。网络安全形势变化迅速，具体的防护与更新措施请以相关官方机构发布的最新指引为准。

想第一时间获取美国大新闻与实用生活资讯，欢迎添加我们的微信：UUUMGT，获取每日精选推送。