简而言之，PHP于10月21日发布了8.5.12、8.4.27、8.3.36和8.2.35版本，用于修复CVE-2026-109618和CVE-2026-109619这两个漏洞。它们的评分均为9.2分，属于可导致未认证远程代码执行的高危漏洞。

芬兰、荷兰和法国在细节提前泄露后，出于谨慎将政府网站下线。与此同时，Cloudflare在补丁发布前数小时就报告了攻击活动。

普通用户无需安装任何东西；修复工作落在网站所有者和托管公司身上，而PHP 8.1及更早版本没有官方发布的修复版本。

如果你今天上过网，大概率已经看到这场恐慌：一个严重漏洞正威胁着“攻陷”地球上几乎每一个网站。

罪魁祸首是PHP，这是一门大多数人从未听说过的编程语言。不过你今天很可能已经用过它：根据W3Techs的数据，在服务器端语言已知的网站中，约70%运行的是PHP。

PHP是网站服务器背后的软件——也就是存储网站并生成你请求的每个页面的那台计算机。比如，WordPress安全公司Wordfence表示，每个WordPress网站都运行在PHP服务器上。

顺带一提，Wordfence自己也宕机了。

PHP本身新发现的两个漏洞，允许陌生人在无需登录的情况下在服务器上执行自己的命令。安全人士称之为“未认证远程代码执行”。其他人可以把它理解为“现在是别人来开车了”。

如果那台服务器存着你的账户、地址或订单历史，那些信息也就落到对方手里。网站托管商GoDaddy警告称，这些漏洞可能让攻击者窃取数据、篡改网站，甚至完全接管服务器。

GoDaddy表示：“这样的漏洞可能让攻击者通过互联网在受影响的服务器上运行自己的代码，从而导致数据被窃取、网站被篡改，或者服务器被完全接管。”

PHP宣布了什么

负责资助该语言开发的非营利组织PHP Foundation周二发出警报。该组织在X上发布声明称：“PHP安全团队提前通知：计划于2026年10月21日周三14:00 UTC发布安全更新，包含两个严重漏洞，二者的CVSSv4评分均为9.2。建议PHP用户提前准备更新。如果细节公开或出现实际利用证据，将提前发布。”

这个9.2分来自CVSS，即通用漏洞评分系统，它会根据漏洞通过互联网被利用的难易程度以及可能造成的损害来评估危险程度。评分范围为0到10，9.0及以上就被标为严重——因此这两个漏洞几乎已经坏到极点，只差满分10分。

修复补丁于周三UTC时间约13:35提前几分钟落地，对应PHP 8.5.12、8.4.27、8.3.36和8.2.35。安全公告毫不含糊地写道：“强烈建议所有PHP用户立即更新。”

但发布修复和让所有人真正完成更新并不是一回事，因此仍需保持谨慎。

漏洞如何运作

第一个漏洞CVE-2026-109618出现在PHP在处理请求的过程中内存耗尽时，随后又把那份只完成一半的数据当作已经完成的数据来处理。第二个漏洞CVE-2026-109619则会让一个访客请求留下的残留内容在内存中滞留，等到下一个请求时再被利用。

可以把它想象成一名厨师还在读已经扔进垃圾桶的订单票据。只要把一张伪造票据丢进垃圾桶，厨师就会照着上面的内容做菜。在这里，“订单”就是攻击者的代码，而服务器会执行它。

PHP表示，风险在使用常见Apache配置mod_php的服务器上最高，因为已演示的利用方式可以“在任何应用代码运行之前”生效。换句话说，网站自身的防护措施，比如登录页面和WordPress安全插件，根本来不及启动。

PHP基金会研究人员指出，PHP的上传进度功能是已确认的入口之一。该功能用于跟踪你上传了多少文件，且十多年来一直默认开启，但实际上很少有网站会用到它。

泄露之后，攻击随即出现

这一切本不该这么早公开。周二，有人在Hacker News论坛发帖称，两个PHP漏洞将在周四披露，同时承认自己“除了‘消息来源：相信我，兄弟’之外没有任何证据”。

结果证明，这位“兄弟”说对了。安全公司watchTowr证实这些漏洞确实存在，而且仍处于保密期——也就是在修复准备好之前不得公开细节的约定——于是PHP把发布时间提前了一天。

Cloudflare首席技术官Dane Knecht在周三清晨于X上写道：“我们已经看到早期攻击出现，正在随着新的攻击向量出现而更新缓解措施。”这比补丁发布早了将近6个小时。Cloudflare已向所有客户推送紧急防火墙规则，用于阻挡已知攻击模式，但Knecht称这只是“临时措施”。

Cloudflare表示，位于其防护后的PHP网站已经针对这些漏洞的已知利用向量部署了初始WAF规则，所有客户都可使用，包括免费用户。我们正在看到早期攻击出现，并随着新的攻击向量出现而更新缓解措施……

政府选择先关站

据芬兰公共广播公司Yle报道，芬兰国家IT中心Valtori开始预防性地下线公共网络服务；荷兰国家网络安全机构也关闭了自己的网站。

法国内政部表示，其省政府网站已“临时下线，等待框架发布方提供安全补丁”。

欧盟网络应急团队CERT-EU告诉无法立即打补丁的组织，“在补丁可用之前，考虑将面向互联网的应用与公共网络隔离”。这套官样说法翻译过来就是“先拔网线”。据路透社报道，澳大利亚、日本和英国的机构也表达了类似立场。

病毒式帖子哪里说错了

电商安全公司Sansec认为受影响范围是PHP 5.4及之后版本，也就是2012年起，而不是2004年——虽然也已经相当老了。

PHP只为8.2及更新版本提供官方发布，这意味着“旧版本没有修复”的说法只对了一半。考虑到这次漏洞的严重程度，其安全团队还为7.4、8.0和8.1发布了最基础的源代码补丁，Linux发行版也在自行回补修复。

即便是已打补丁的版本，也不可能立刻覆盖所有服务器。PHP Foundation在声明中表示：“如果你依赖由志愿者维护的https://rpms.remirepo.net，我们敦促你现在就切换到发行版软件包或从源代码构建，以便立即应用更新。该仓库今天不会提供更新。”这里指的是一个为Red Hat风格Linux服务器提供PHP软件包的热门志愿者维护来源。

普通用户真的需要担心吗？

你不必恐慌，但也别掉以轻心。比如，一个被黑的网站并不需要碰区块链就能掏空你的钱包。2024年，攻击者曾把DeFi协议Compound和Celer的前端重定向到会清空连接钱包的页面，Curve Finance在2025年也遭遇过类似攻击。

这些都是DNS劫持，不是PHP漏洞，但手法是一样的：网站看起来没问题，网址看起来也没问题，而“确认”按钮却会把你的代币送到别的地方。被攻陷的服务器完全可以提供这种页面。

黑客在利用零日漏洞时，往往会非常快、非常有创造力。

随着前沿AI模型越来越多地被用于发现软件漏洞，这类漏洞也变得更容易被找到。Decrypt在6月采访的专家表示，随着这些工具扩散，未来可能会出现更多漏洞。

接下来会发生什么，以及该怎么做

一旦补丁公开，攻击者就可以对比新旧代码，找出到底修了什么。网络安全公司Sansec的取证团队表示，预计“在发布后15分钟内就会出现大规模攻击”。当另一项PHP漏洞在2024年6月公开时，Akamai在24小时内就发现了针对其诱饵服务器的利用尝试。

那么普通人是否真的需要恐慌？并不是。你的手机、浏览器和笔记本电脑不需要打PHP补丁；真正需要做事的是运行你所访问网站的人。

如果你运营网站，请询问你的托管服务商PHP是否已经更新，不要指望WordPress会替你完成：Wordfence警告称，自动更新不会应用这次修复，并提醒网站所有者弄清楚服务器上的PHP究竟由谁负责更新。凡是仍在使用8.1或更早版本的人，都需要规划升级。

PHP核心开发者Gina Peter Banyard在Mastodon上表示：“我唯一能说的是，唯一的缓解措施就是修补/升级PHP。我很遗憾知道得太多。”

如果你使用的是PHP 8.2，那么你刚拿到的这个修复也是最后几次之一：该版本将在2026年12月31日结束生命周期，之后将不再获得安全补丁。