徽声在线记者 | 林晓薇

一场潜伏在众多网站底层的重大安全危机，正悄然冲击着全球网络安全防线。

10月22日，国家网络安全通报中心发布紧急消息，开源编程语言PHP近期被曝出两个极其严重的安全漏洞（代号“php2shell”），漏洞编号分别为CVE-2026-109618和CVE-2026-109619。这些漏洞允许未经身份验证的远程攻击者通过发送特制的POST请求，触发内存破坏，进而实现远程代码执行，最终获取服务器的控制权限。此次漏洞影响范围广泛，涵盖了PHP 8.5.x版本低于8.5.12、PHP 8.4.x版本低于8.4.27、PHP 8.3.x版本低于8.3.36、PHP 8.2.x版本低于8.2.35以及8.1版本之前的所有版本。

据国家信息安全漏洞共享平台（CNVD）进一步披露，10月21日，该平台已收录了这两个PHP远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，与上述CVE编号对应）。攻击者可以构造恶意的HTTP请求，触发内存错误，在特定条件下对目标服务器实施拒绝服务攻击、窃取敏感数据或执行远程代码。目前，漏洞的技术细节和概念验证（PoC）已经广泛传播，CNVD强烈建议受影响的用户立即升级到最新版本，并对该漏洞给出了“高危”的综合评级。

为了应对这一危机，PHP官方已经发布了修复版本，包括PHP8.5.12、8.4.27、8.3.36和8.2.35。此外，该漏洞还波及了Magento、WordPress、Drupal、Joomla、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart等众多基于PHP环境的主流内容管理系统（CMS）和框架。

今日，香港网络安全事故协调中心也在其官方网站发布公告，将多个PHP漏洞列为“极高度风险”，并警告称这两个漏洞正在被广泛利用，可能导致远程代码执行。该中心建议各机构立即为所有受影响的资产应用修补程序。如果无法立即修补，应考虑将面向互联网的应用程序与公共网络隔离，直到安全修补程序应用并验证完毕。

PHP作为一种广泛使用的开源通用脚本语言，特别适用于Web开发，并可以嵌入HTML中。PHP解释器内核为全球大多数Web应用的运行提供了基础环境，包括WordPress、Drupal、Joomla、Laravel等主流框架和内容管理系统。

根据W3Tech的统计数据，在当前可识别后端语言的公开网站中，约有69.3%的网站都在使用PHP。WordPress、Drupal、Magento这些全球主流的建站系统，其底层几乎全部依赖于PHP运行。

此次漏洞的发现颇具戏剧性。最初，安全研究人员借助AI工具协同发现了这些漏洞，OpenAI、谷歌安全团队以及安全厂商Calif共同参与了漏洞的挖掘与验证工作。原本计划在固定时间统一发布补丁，但相关信息意外提前泄露，迫使PHP基金会提前推出了修复版本，打乱了原有的发布节奏。

据央视新闻报道，Calif的研究员、漏洞发现者赖恩·奥斯汀形象地描述了该漏洞的危害：“你可以把它想象成你的房子。利用这个漏洞，攻击者本质上就像是进了前门或房子的大门。一旦进入，他们就可以在网络内部自由游走，实施勒索软件攻击或进行其他极其恶劣的行为。”

据悉，此次修复工作规模庞大，共有近200个文件得到了修正，开发人员在此过程中编写了超过1万行代码。

为了更有效地应对此类漏洞，OpenAI提出了一个分阶段的漏洞响应框架，涵盖漏洞验证与修复、提前通知受影响机构、协调政府部门、推动相关产品更新以及发布修复指南等环节。此外，OpenAI还承诺提供10亿美元的Daybreak补贴访问资源，帮助那些安全资源有限的机构加强防护。

谷歌云方面表示，尽管其自身不受此次漏洞的影响，但运行在谷歌云平台上的PHP应用仍可能面临风险。因此，谷歌云敦促客户立即升级到PHP 8.2或更高版本，并部署已修复的版本。

国内的云厂商也纷纷响应，发布了预警。腾讯云、阿里云等云服务厂商已经发布了漏洞通告，提醒相关用户尽快排查业务中PHP的使用情况，如果受到影响，应第一时间完成更新或采取缓解措施。

此外，富士胶片（中国）投资有限公司也发布通知称，鉴于PHP漏洞的存在，为确保服务安全，旗下instax官网将进行系统维护与升级。

多国网络安全机构也同步作出了响应。英国国家网络安全中心发布警报称，广泛用于网站开发的PHP脚本语言存在严重安全漏洞，可能被攻击者利用。出于安全考虑，多国机构采取了预防性措施，将网站临时下线。英国预算责任办公室暂时将其网站下线，芬兰临时关闭了政府公共网络服务，荷兰网络安全机构也将其网站临时下线。

PHP作为互联网的基石之一，其历史可以追溯到1994年，由拉斯姆斯·勒多夫开发。最初，它只是一套简单的网页脚本工具，但经过三十年的迭代发展，已经成长为成熟的开源服务器语言，以其上手简单、部署成本低以及与MySQL数据库适配友好等特点而广受欢迎。

然而，PHP并非第一次爆出影响广泛的高危漏洞。2024年曝光的CVE-2024-4577漏洞同样属于远程代码执行缺陷，在Windows环境的PHP部署中极易被利用。当时，全球大量搭载XAMPP集成环境的站点遭到批量入侵，黑产通过该漏洞批量植入网页木马、搭建钓鱼页面。

与过往漏洞相比，本次“PHP2Shell”漏洞的特殊之处在于，其根源指向PHP底层内存管理的架构缺陷，影响覆盖了8.2至8.5四个主流稳定分支。修复这些漏洞需要替换完整的新版本，而临时配置层面的缓解手段有限，这给运维团队带来了不小的压力。

不过，央视报道中提及的网络安全专家表示，普通用户无需过度恐慌，因为PHP运行在服务器上，而非个人上网设备里。如果某个网站暂时无法打开，可能是出于主动避险的考虑。个人信息是否受到影响，还需看后续的通知。如果网站后续发布了数据泄露通知，用户可以根据提示采取更换密码等安全措施。