PHP基金会近日公布了两个关键安全漏洞——CVE-2026-109618和CVE-2026-109619，这两个漏洞影响了自2004年7月发布的PHP 5版本以来所有用于处理网页请求的PHP安装版本。然而，根据官方通告，只有PHP 8.2及以上版本仍在支持范围内并会收到补丁更新。尽管如此，一些PHP发行版和第三方供应商仍在提供旧版本的修复补丁。由于PHP作为互联网基础且广泛使用的网页层技术，许多历史遗留系统可能未被及时更新，存在被遗忘的风险。

PHP基金会在安全公告中强调：“没有完整的缓解措施，唯一安全的选择是立即更新。”安全专家警告，忽视未修补系统可能带来严重后果。

独立安全顾问、伦敦国王学院访问高级研究员卢卡什·奥莱尼克（Lukasz Olejnik）表示：“这不是演习。”自上世纪90年代开发以来，PHP已发展成为网页开发的核心脚本语言，广泛应用于互联网的各类网站和软件中。从WordPress、Drupal等内容管理系统到Adobe的Magento电商平台，均基于PHP构建。

奥莱尼克将PHP的广泛使用比作关键基础设施，称其安全漏洞的影响巨大，可能波及数百万系统。“尤其是如果攻击者迅速利用这些漏洞，最坏情况可能出现蠕虫式恶意软件，影响互联网大范围区域。”

安全团队和开发者最担心的是，恶意黑客可能在漏洞修补前迅速发动攻击。互联网基础设施公司Cloudflare报告称，在PHP基金会公布漏洞和补丁前，已观察到早期攻击迹象。安全公司Sansec预测，补丁发布后15分钟内将出现大规模攻击。

资深安全与合规顾问达维·奥滕海默（Davi Ottenheimer）指出：“大部分网站运行在PHP上，这个漏洞存在于文件上传接口，犹如一扇没有锁的前门。攻击者无需知道目标网站或其运行的软件，只需向任意服务器发送精心构造的上传请求，即可发动攻击。”

在PHP更新版本发布前，一些组织出于安全考虑暂时关闭了网站。报道称，芬兰政府多个网站（包括国家土地测绘局）、法国政府网站以及鹿特丹港口网站均曾短暂无法访问。

奥莱尼克强调：“所有人都应立即打补丁，漏洞利用可能非常迅速且规模巨大。人工智能的出现使得漏洞利用变得更加紧迫，可能只需一分钟左右。”

谷歌旗下安全公司Wiz表示，其研究人员部分借助AI工具发现了这些PHP漏洞。OpenAI和安全公司Calif也称独立发现了这些问题并展开合作。Wiz研究人员将漏洞利用演示命名为php2shell，称部分情况下漏洞可被“相当容易”地利用。

Wiz研究报告指出：“这些漏洞允许未认证攻击者在受影响服务器上执行代码或读取敏感进程内存，内存中可能包含密码、认证令牌、API密钥及服务器证书等信息。”

PHP维护团队于10月20日在官网首次发布了即将出现的漏洞信息，提前预告了安全缺陷及补丁发布。公告未透露漏洞细节及受影响版本，但指出两处漏洞在通用漏洞评分系统（CVSS）中均被评为“关键”级别，得分为9.2分（满分10分）。

PHP官网安全警告称：“若漏洞细节提前泄露或出现活跃利用证据，我们保留提前发布补丁的权利。”据Bleeping Computer和Ars Technica报道，部分漏洞细节可能在官方发布前已泄露。

PHP基金会的提前警告为开发者、安全团队和企业争取了准备时间。欧盟计算机应急响应小组（EU-CERT）和澳大利亚网络安全机构均发布警告，建议IT团队尽快更新系统，修补过程中网站可能需要暂时下线。

英国国家网络安全中心（NCSC）也发布提醒，建议组织“准备立即更新使用PHP的系统”，并在无法立即修复时考虑暂时下线系统。

NCSC建议企业识别技术基础设施中运行PHP的系统，重点关注连接互联网的PHP系统，并监控潜在攻击迹象。随后应及时应用PHP更新，并关注软件厂商发布的相关补丁。

美国联邦调查局（FBI）网络助理主任布雷特·利瑟曼（Brett Leatherman）在线发布建议：“若发现系统被攻破迹象，应隔离系统，保存网页服务器及PHP日志，并向当地FBI分局报告。这有助于识别攻击者并预警其他潜在受害者。”