10月21日，PHP 项目发布紧急安全更新，修复了两个被统称为 “PHP2Shell” 的高危漏洞（CVE-2026-109618、CVE-2026-109619）。两个漏洞的 CVSS 4.0 评分均为 9.2，攻击者无需登录，仅凭构造 HTTP 请求就能在服务器上执行任意代码。漏洞技术细节在补丁发布前即遭泄露，攻击流量随即而至：补丁上线不到 12 小时，针对该漏洞的攻击尝试已达数百万次。
美国网络安全与基础设施安全局（CISA）、国家安全局（NSA）与联邦调查局（FBI）敦促所有机构立即打补丁，对无法升级的系统建议直接下线。10月22日至23日，全球补丁抢修进入高峰：CISA 更新了安全警报并发布检测规则，荷兰议会下议院与英国国家网络安全中心出于防范将网站临时下线，安全厂商则确认漏洞位于 PHP 引擎核心，单纯更新 WordPress 等应用本身无法修复。
据报告漏洞的研究人员称，人工智能模型在漏洞发现与利用开发两个阶段都发挥了作用。这是近年来罕见的由 AI 辅助发现、影响 PHP 运行时本身的引擎级高危漏洞，其补救必须触及服务器底层的 PHP 版本，而非应用层代码。
事件经过
时间线显示，研究人员于 2026 年 8 月向 PHP 项目报告了这组漏洞，PHP 于 9 月启动协调修复，原定的协调披露日期为 10 月 22 日。但 10 月 20 日，CVE 编号与漏洞技术细节被泄露到 Hacker News 与社交媒体，PHP 当天发布预告，并把正式发布时间提前一天，定于 10 月 21 日 14 时（UTC）。当天，PHP 8.5.12、8.4.27、8.3.36 与 8.2.35 四个修复版本同步发布。
攻击并没有等待补丁。亚马逊威胁情报部门在其蜜罐系统中最早于 10 月 17 日就捕获到针对该漏洞的攻击尝试，比正式披露早了四天。10 月 21 日 7 时 43 分（UTC），即补丁发布前六个多小时，Cloudflare 记录到早期攻击流量。安全公司 watchTowr 复现了漏洞，并报告观测到针对两个漏洞的在野攻击尝试。补丁发布不到 12 小时后，Cloudflare 首席执行官 Matthew Prince 表示，针对该漏洞的攻击尝试已达数百万次。
漏洞的本质是两组共四个相关的内存安全缺陷，位于 PHP 引擎内部，而非某个插件、框架或应用代码。有问题的代码可以追溯到 2012 年发布的 PHP 5.4。这意味着所有通过 PHP 对外提供网页服务的部署都在影响范围内，包括 PHP-FPM、Apache mod_php（PHP 官方认为其风险最高）、php-cgi、FrankenPHP 与 LiteSpeed。即使 WordPress、Drupal、Joomla 等应用的代码本身干净无虞，底层 PHP 未升级的站点依然暴露在风险之中。
补丁发布前后还爆发了一场关于“禁运”的争议。PHP 基金会指责供应链安全厂商 Chainguard 在 10 月 21 日 7 时 41 分（UTC）提前发布了包含补丁的容器镜像，比协调发布时间早了六个多小时。Chainguard 首席执行官 Dan Lorenc 没有否认时间点，但表示公司是在其他安全厂商报告已出现攻击之后才采取行动，并已将情况通报协调披露渠道。思科则在 10 月 22 日表示，正在排查旗下产品与服务是否受影响，截至当时未发现受影响的产品，也未获悉漏洞被恶意利用。
各方反应
NSA、CISA 与 FBI 给出了明确建议：立即升级到修复版本并优先处理面向互联网的系统；对无法立即升级、或仍在使用 PHP 8.1 及更早不受支持版本的系统，应将其下线，直到能够打补丁或完成升级。官方同时指出，Web 应用防火墙可以在系统完成升级前提供一定防护，但不能替代打补丁。
CISA 在 10 月 23 日更新了其安全警报，新增了一条 SIGMA 检测规则以帮助识别可疑活动，纳入了合作伙伴资源，并重申了缓解指引。CISA 表示，截至警报发布时尚未观察到漏洞在野外被成功利用，但未打补丁的系统仍面临风险。CISA 建议各机构清查组织内运行的所有 PHP 系统（PHP 常作为其他软件的组件存在，未必直观可见），升级后重启 Apache、PHP-FPM 及常驻 PHP 进程，并监控 PHP 工作进程启动 shell 或下载工具等异常行为。
一些机构选择了预防性下线。据安全厂商披露，荷兰议会下议院与英国国家网络安全中心（NCSC）在补丁发布前后出于防范将网站临时下线。Sysdig、watchTowr、Check Point 等安全公司则发布了漏洞分析与运行时检测覆盖方案，帮助安全团队识别受影响的 PHP 负载并确定升级优先级。
老版本用户面临更棘手的局面。PHP 团队没有为 PHP 8.1 及更早版本发布官方修复版本，而是为 7.4、8.0 与 8.1 提供了源码补丁，需要自行编译应用；另一种路径是通过 Linux 发行版厂商提供的回移植软件包升级。PHP 官方安全公告列出的临时缓解措施只能降低暴露面，不能让系统真正安全。
背景影响
PHP 驱动着全球海量网站，此次漏洞直击语言运行时本身，决定了修复工作必须深入到服务器底层。更新内容管理系统或插件版本对此无效，“更新 PHP 才是唯一完整的修复”成为各安全机构一致的结论。对于运维团队，标准的补救清单包括：立即升级到 8.5.12、8.4.27、8.3.36 或 8.2.35，重启相关服务，并把日志回溯至少到 10 月 17 日，以排查补丁发布前就已发生的入侵尝试。
此次事件也凸显了 AI 参与漏洞研究的双面性。报告漏洞的研究人员称 AI 模型在漏洞发现与概念验证利用的开发中都提供了帮助，而技术细节在协调披露前泄露、导致攻击先于补丁到来，则暴露了高危漏洞协调披露机制的脆弱：补丁代码一旦公开，其改动本身就指向漏洞位置，未打补丁的服务器通常在数小时到数天内就会遭到攻击。
截至 10 月 23 日，全球范围的补丁抢修仍在进行中，CISA 的安全警报保持更新，厂商的排查与检测覆盖也在持续推进。相关进展以官方公布为准，仍在使用老旧 PHP 版本的机构应尽快评估升级或下线方案。
10月22日至23日的抢修进展还包括检测能力的跟进。CISA 在更新警报时同步发布了 SIGMA 检测规则，帮助安全团队在日志中识别针对该漏洞的可疑活动；Sysdig 威胁研究团队则面向使用 Sysdig Secure 与开源 Falco 的用户提供了运行时检测覆盖。这些检测手段主要盯住 PHP 工作进程异常启动 shell 或下载外部工具等行为，而打补丁依然是官方强调的唯一完整修复。
供应链层面的修复也在推进。PHP 官方指出，许多 Linux 发行版会把修复以回移植的方式放进自家的 PHP 软件包，因此通过操作系统包管理器升级也是一条可行的修复路径。对于无法自行编译源码补丁的老版本用户，这是相对省力的选择。不过 PHP 官方同时提醒，公告中列出的临时缓解措施只能降低暴露面，不能让系统真正安全，拖延升级等于把窗口期留给攻击者。
从更大的视角看，PHP2Shell 再次验证了基础组件漏洞的“放大器效应”：漏洞藏在语言运行时里，上层无论 WordPress、Drupal 还是 Laravel、Nextcloud，只要底层 PHP 未修复就一律暴露。安全厂商 Check Point 特别指出，漏洞位于 PHP 核心解释器而非应用代码，因此更新应用层软件不能修复它。这种“修应用没用、必须修运行时”的特性，正是引擎级漏洞最让运维团队头疼的地方。
截至 10 月 23 日，全球补丁覆盖率仍在爬坡，CISA 警报保持更新，厂商排查持续。PHP 基金会与 Chainguard 关于禁运的争议也提醒业界：高危漏洞的协调披露越来越难守住时间表，研究人员、厂商与开源项目之间需要更明确的协同规则。后续进展以官方公布为准。各机构也不妨把此次事件作为复盘契机，完善高危漏洞出现时的应急响应流程与资产台账。
对于安全团队，官方建议的处置顺序是：先做资产清查，确认组织内所有运行 PHP 的系统及其版本；优先给面向互联网的系统打补丁；升级后重启 Apache、PHP-FPM 及常驻进程；把 SIGMA 等检测规则部署到日志与 SIEM 平台；最后把日志回溯至少到 10 月 17 日，排查补丁发布前就已发生的入侵痕迹。CISA 特别提醒，PHP 常作为其他软件的组件存在，在资产清单里容易漏网，版本普查必须做彻底。
权威一手来源
- PHP 项目安全公告（php.net）：https://www.php.net/
- CISA《Critical Vulnerabilities in PHP Require Immediate Patching》（2026年10月21日发布、10月23日更新）：https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- 路透社、美联社相关报道（2026年10月21日至23日）
核验日期：2026-10-23
免责声明
本文内容编译自公开报道与官方发布信息，仅供了解新闻事件参考，不构成任何网络安全或技术建议。漏洞细节与修复版本以 PHP 项目与 CISA 官方公告为准，机构的具体处置请以自身安全团队评估为准。
想第一时间获取美国新闻动态，欢迎关注美国通官方微信：UUUMGT
评论前必须登录！
注册