- PHP发布了两项严重漏洞的紧急更新。
- Cloudflare报告发现有人尝试利用这些漏洞，而CISA发布警报时尚未观察到成功利用。
- 修复后的PHP版本为8.5.12、8.4.27、8.3.36和8.2.35。
PHP发布了两项严重漏洞的紧急更新，在适当条件下，未经身份验证的攻击者可利用这些漏洞在PHP服务器上执行代码。
这些漏洞影响所有提供Web请求服务的PHP安装，包括使用mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP和LiteSpeed。Cloudflare报告称发现有人尝试利用这些漏洞，而CISA表示其发布公告时尚未观察到成功利用。
据W3Techs统计，2026年10月，在已知服务器端编程语言的网站中，有69.3%使用PHP。PHP基金会表示，泄露的CVE信息列出了错误的CVSS评分10.0，实际评分为9.2。
CERT-EU将漏洞与内存损坏和过期全局状态相关联
CERT-EU表示，其中一项漏洞源于内存不足处理期间的内存损坏，另一项则源于过期的全局状态。
Censys表示，PHP项目已确认在不同服务器配置上针对每项漏洞的可行攻击。Palo Alto Networks的Unit 42表示，其研究人员已经观察到针对两项漏洞的概念验证漏洞利用代码。
紧急更新发布前，PHP暴露面已达到数百万台主机
Censys在周三发现，有6,292,667台主机和115,000,393个Web资产符合其PHP暴露面查询条件。VirusTotal发现有510万IP地址运行PHP，其中包括758,000个运行已停止生命周期版本的IP地址，以及85,000个运行最新补丁前版本的IP地址。
PHP基金会表示，外部人工智能公司开展的审查最早于8月引起了对这些漏洞的严肃关注。该基金会称，其中一项漏洞的历史可追溯至2024年，当时PHP在数年后首次接受外部安全审计。
CVE编号流传之际，PHP基金会提前发布更新
PHP基金会表示，这两个CVE标识符于10月20日约15:00UTC开始在在线论坛和社交媒体上传播。该基金会还将发布时间从10月22日14:00UTC提前至10月21日14:00UTC。
The Record称，由于这两项漏洞，企业和政府下线了数百个网站。Palo Alto Networks还报告称，至少有一个欧洲政府出于预防目的将其网站下线。
CISA表示，无法立即更新的组织，或仍在使用不受支持的PHP 8.1或更早版本的组织，应将基于PHP的系统下线，直到能够修补或更新。
CISA还表示，在系统更新或修补前，Web应用防火墙可能提供一定保护，并敦促防御人员监控PHP工作进程启动Shell或下载工具的情况。
防守方现在要做什么
- 立即更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35。
- 如果无法立即更新，或使用PHP 8.1或更早版本，请将基于PHP的系统下线，直到能够修补或更新。
- 监控可疑活动，包括PHP工作进程启动Shell或下载工具。
常见问题
PHP发生了什么？
PHP发布了两项严重漏洞的紧急更新，在适当条件下，未经身份验证的攻击者可利用这些漏洞在PHP服务器上执行代码。
PHP漏洞遭到利用了吗？
Cloudflare报告发现有人尝试利用这些漏洞。CISA表示其发布警报时尚未观察到成功利用。
哪些对象受到PHP漏洞影响？
所有提供Web请求服务的PHP安装均受影响，包括使用mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP和LiteSpeed。
两项PHP漏洞是由什么引起的？
CERT-EU表示，其中一项源于内存不足处理期间的内存损坏，另一项则源于过期的全局状态。
来源
- Today, PHP Foundation原始文件
- Critical Vulnerabilities in PHP Require Immediate Patching | CISA, CISA原始文件
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 with VirusTotal, VirusTotal原始文件
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024, The Record
- PHP rushes out emergency patches for two critical bugs AI found first, The Next Web
- Two Critical PHP Bugs Put 70% of the Web at Risk, NSA Urges Immediate Patch, Hoodline
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| PHP基金会表示，外部人工智能公司开展的审查最早于8月引起了对这两项漏洞的严肃关注。 | PHP Foundation, via The Record | 引述 |
| PHP基金会表示，CVE-2026-109618的历史可追溯至2024年，当时PHP在数年后首次接受外部安全审计。 | PHP Foundation, via The Record | 引述 |
| The Record称，企业和政府于周三因CVE-2026-109618和CVE-2026-109619将数百个网站下线。 | The Record | 引述 |
| VirusTotal发现有510万IP地址运行PHP，其中包括758,000个运行已停止生命周期版本的IP地址，以及85,000个运行最新补丁前版本的IP地址。 | VirusTotal, via The Record | 引述 |
| PHP发布了8.5.12、8.4.27、8.3.36和8.2.35版本的紧急更新。 | PHP, via The Next Web | 引述 |
| 在适当条件下，这些漏洞可让未经身份验证的攻击者在PHP服务器上执行代码。 | PHP Foundation | 已证实 |
| CISA表示，其发布警报时尚未观察到现实环境中的成功利用。 | CISA | 已证实 |
| CISA表示，这些漏洞影响所有提供Web请求服务的PHP安装，包括PHP-FPM、php-cgi、FrankenPHP和LiteSpeed。 | CISA | 已证实 |
| CISA表示，在系统更新或修补前，Web应用防火墙可能提供一定保护。 | CISA | 已证实 |
| PHP基金会表示，这两个CVE标识符于10月20日约15:00UTC开始在论坛和社交媒体上传播。 | PHP Foundation | 已证实 |
| PHP基金会表示，泄露的CVE信息包含错误的CVSS评分10.0，而实际评分为9.2。 | PHP Foundation | 已证实 |
| CERT-EU表示，cVE-2026-109618源于内存不足处理期间的内存损坏，而CVE-2026-109619源于过期的全局状态。 | CERT-EU, via Hoodline | 引述 |
| 据Censys称，PHP项目已确认在不同服务器配置上针对每项漏洞的可行攻击。 | Censys, via Hoodline | 引述 |
| Censys在周三发现，有6,292,667台主机和115,000,393个Web资产符合其PHP暴露面查询条件。 | Censys, via Hoodline | 引述 |
| Palo Alto Networks的Unit 42表示，Unit 42研究人员观察到了针对两项漏洞的概念验证漏洞利用代码。 | Palo Alto Networks Unit 42, via Hoodline | 引述 |
| 据Palo Alto Networks的威胁简报，至少有一个欧洲政府出于预防目的将其网站下线。 | Palo Alto Networks, via Hoodline | 引述 |
| 据NBC News报道，CISA发布公告时尚未观察到对这些漏洞的利用。 | NBC News, via Hoodline | 引述 |
| 据W3Techs报道，2026年10月，在已知服务器端编程语言的网站中，有69.3%使用PHP。 | W3Techs, via Hoodline | 引述 |
| CISA于2026年10月23日发布报告。 | CISA | 已证实 |
未能核实
- 据报道的利用尝试是否实现了代码执行，尚未确定
- 实际存在漏洞或已遭入侵的系统数量，尚未确定
- 所有报告的暴露面测量是否采用可比方法，尚未确定
