PHP严重漏洞致百万网站危急：CVE-2026-109618等威胁详解与防护指南
2026年10月21日，互联网安全领域拉响最高警报。PHP基金会于本周三发布紧急安全更新，披露了两个被标记为“严重”级别的远程代码执行漏洞——CVE-2026-109618和CVE-2026-109619。据WIRED报道，这两个漏洞影响所有用于处理Web请求的PHP安装，追溯至2004年7月发布的PHP 5版本。安全专家警告称，未能迅速修补的系统可能面临灾难性后果，攻击者可借此完全控制服务器。
内幕消息漏洞核心：影响范围广、攻击门槛低
根据PHP基金会发布的公告，这两个漏洞均属于远程代码执行（RCE）类型，攻击者无需身份验证即可通过发送特制请求触发。受影响的PHP版本跨度极大，从PHP 5到最新的PHP 8.4均存在风险。不过，官方仅对PHP 8.2及更新版本提供补丁，旧版本（PHP 5、7、8.0、8.1）已终止支持。基金会同时指出，部分第三方发行版（如Red Hat、Debian）可能自行维护旧版本的补丁，但用户需自行确认。
独家爆料独立安全顾问、伦敦国王学院高级访问研究员卢卡什·奥莱伊尼克（Lukasz Olejnik）向WIRED表示：“影响是巨大的，数百万系统可能面临风险。尤其是如果攻击者迅速利用这些漏洞，最坏的情况是出现蠕虫式恶意软件，感染互联网大片区域。”
狗仔爆料攻击已在路上：Cloudflare与Sansec发出警报
更令人担忧的是，在PHP基金会公开漏洞并发布补丁之前，互联网基础设施公司Cloudflare已经报告观察到“早期攻击迹象”。安全公司Sansec在官方分析中警告：“我们预计补丁发布后15分钟内将出现大规模攻击。”这一时间线凸显了漏洞的严重性——攻击者很可能已经提前准备好利用代码，只待细节披露便立即行动。
狗仔偷拍据路透社援引知情人士消息，多个国家级黑客组织已将其纳入优先利用清单。网络威胁监控平台Greynoise的数据显示，在漏洞公告发布后不到两小时，针对CVE-2026-109618的扫描流量激增了1700%。
网友爆料历史与现状：PHP为何成为“互联网地基”
PHP自1995年诞生以来，已演变为最流行的服务器端脚本语言之一。根据W3Techs统计，截至2026年10月，PHP仍被全球约77.8%的网站使用。涵盖内容管理系统WordPress（市场份额超43%）、Drupal、Joomla，以及电商平台Adobe Magento、Magento Open Source等。这些系统合计支撑了数以亿计的网站和企业应用。
奥莱伊尼克将PHP的广泛部署比作“关键基础设施”。他在采访中强调：“这就像是互联网的钢筋水泥——一旦出现裂缝，整个结构都会摇晃。”
漏洞原理与技术细节
两个漏洞均存在于PHP的HTTP解析器中。CVE-2026-109618允许攻击者通过精心构造的Content-Type头触发堆缓冲区溢出，从而执行任意代码。CVE-2026-109619则涉及文件上传功能的路径遍历问题，结合服务器配置缺陷可导致远程控制。美国国家标准与技术研究院（NIST）给出的CVSS 3.1评分均为9.8（满分10），属于极危等级。
受影响版本及补丁状态如下表：
| PHP版本 | 官方支持状态 | 补丁可用性 | 建议操作 |
|---|
| --- | --- | --- | --- |
|---|
| PHP 8.4 / 8.3 / 8.2 | 活跃支持 | 官方已发布 | 立即更新至最新补丁版本 |
|---|
| PHP 8.1 | 安全支持中 | 官方已发布 | 立即更新至8.1.30+ |
|---|
| PHP 8.0 | 停止支持 | 无官方补丁 | 升级至8.2+或依赖第三方补丁 |
|---|
| PHP 7.x | 停止支持 | 无官方补丁 | 升级至8.2+或依赖第三方补丁 |
|---|
| PHP 5.x | 停止支持 | 无官方补丁 | 立即升级，第三方可能提供有限支持 |
|---|
紧急响应：云服务商与托管平台行动
主要云服务商和托管平台已在第一时间发布安全公告。亚马逊AWS建议用户检查EC2实例和Elastic Beanstalk环境中的PHP版本，并尽快应用补丁。微软Azure在其安全中心标记了相关漏洞，并提供了自动修补选项。谷歌云也发布了针对Compute Engine和App Engine的更新指南。
此外，WordPress安全团队在其官方博客中敦促所有站点管理员立即更新PHP版本，并提醒即使WordPress本身不需要PHP 8.2+，托管商也可能提供了更现代的PHP运行环境。
无法完全缓解：更新是唯一安全选择
PHP基金会在公告中明确指出：“没有完整的缓解措施，更新是唯一安全的选择。”这意味着传统的WAF规则、访问控制等只能提供有限防护，无法阻止漏洞被利用。安全专家建议系统管理员立即执行以下步骤：
- 确认当前PHP版本（通过phpinfo()或命令行）；
- 若版本≥8.2，更新至最新小版本（8.2.28、8.3.19、8.4.7）；
- 若版本≤8.1，尽快升级至受支持的版本；
- 检查第三方扩展兼容性，测试后上线。
FAQ
Q1: 什么是CVE-2026-109618和CVE-2026-109619？
A1: 这两个是PHP中发现的严重远程代码执行漏洞，影响所有用于Web请求的PHP安装。攻击者无需认证即可利用这些漏洞，获得对服务器的完全控制。CVSS评分均为9.8，属于极危等级。
Q2: 如何保护我的网站不受这些PHP漏洞影响？
A2: 唯一的完全缓解方法是更新PHP至受支持版本的最新补丁。如果你的PHP版本低于8.2，应升级到8.2或更高版本。同时，检查并应用服务器上任何第三方发行版提供的补丁。在无法立即更新时，可考虑部署WAF作为临时措施，但不应视为替代更新。
结语
PHP严重漏洞的曝光再次提醒我们，互联网的基石并不总是坚固。当核心语言出现裂缝时，数百万网站危在旦夕。现在，每一分钟都至关重要。系统管理员必须立即行动，否则可能面临数据泄露、服务中断乃至更严重的后果。正如安全专家所说：“这不是演习。”
