全球性“php2shell”高危漏洞引发安全危机 多国政府紧急下线网站应对

全球性“php2shell”高危漏洞引发安全危机 多国政府紧急下线网站应对

本报讯 全球广泛使用的服务器端编程语言PHP于10月21日被披露存在两个关键安全漏洞，编号分别为CVE-2026-109618和CVE-2026-109619，代号“php2shell”。这两个漏洞允许攻击者在未经身份验证的情况下远程执行任意代码，进而完全控制服务器。由于PHP是互联网的核心技术之一，该漏洞的潜在影响面巨大，多国政府和机构已采取紧急措施，部分政府网站甚至预防性下线。

漏洞风险极高：CVSS评分9.2，影响所有PHP 5及以上版本

根据斯洛文尼亚国家网络安全响应中心（SI-CERT）发布的公告，这两个漏洞的CVSS评分高达9.2分（满分10分），属于“严重”级别。攻击者无需任何身份验证或用户交互即可利用漏洞远程执行任意代码。更令人担忧的是，受影响范围覆盖PHP 5以来的所有版本。

PHP基金会官方博客披露了漏洞的技术细节。CVE-2026-109618涉及内存耗尽（OOM）时的内存损坏问题：当请求在特定时刻触及PHP的memory_limit限制时，PHP可能留下部分初始化的内部数据，随后将其视为有效数据，从而破坏内存。在Apache的mod_php模式下，未经身份验证的请求可在任何应用代码运行之前触发该漏洞。CVE-2026-109619则涉及“陈旧状态”导致的释放后使用（use-after-free）问题，错误发生时机不当可能导致内部状态指向已释放的内存，同一工作进程处理的后续请求可利用该内存。

Blackpoint Cyber的安全公告指出，Cloudflare等厂商已开始报告活跃的利用尝试。PHP核心开发者Gina Peter Banyard直言：“唯一的缓解措施就是打补丁或升级PHP。”

AI发现漏洞：OpenAI模型参与，专家称“人类难以独立察觉”

此次漏洞的发现过程颇具标志性意义。据多家媒体报道，该漏洞由安全公司Calif的研究员Ryan Austin于2026年8月在OpenAI的GPT-5.6 Sol模型辅助下，通过对PHP源代码进行审计时发现。OpenAI总裁Greg Brockman表示，这是其“Patch the Planet”计划的一部分，该漏洞在PHP中已潜伏长达14年。

云计算安全公司Wiz的联合创始人Ami Luttwak评价称，php2shell是“人工智能发现的最严重漏洞”，其复杂性可能使人类难以独立发现。Calif首席执行官Thai Duong警告，补丁发布后，黑客可利用AI快速分析源代码变更并开发漏洞利用工具，“如果有人在推特上拿补丁跑AI然后发布利用脚本，一切就会失控”。

全球紧急响应：日本首相发声，欧洲多国网站下线

漏洞披露后，多国政府及网络安全机构迅速采取应急措施。

在亚洲，日本首相高市早苗通过社交媒体呼吁相关机构尽快部署安全补丁，并表示若无法立即修复，暂时停止网站服务也是有效手段。日本国家网络安全统括室同样发布了预警。据日本个人博客“piyolog”统计，截至22日凌晨，包括政府机构和金融机构在内的211个组织发布了停机或紧急维护公告。

欧洲方面的反应同样迅速。荷兰的DigiD行政登录平台、众议院网站、数据保护局以及鹿特丹港务局等网站均出现无法访问的情况，甚至荷兰国家网络安全中心自身的官网也一度下线。芬兰国家网络安全中心Valtori自21日下午起关闭了部分公共服务网站，涉及国家土地测量局、赫尔辛基书展等服务。Valtori解释称：“这是预防性措施，并非遭受攻击或数据泄露的结果。”法国、比利时、德国等国也采取了类似预防性下线措施。

美国方面，CISA和NSA均发布警告，建议无法立即更新的机构将系统离线，直至修复完成。

官方修复已发布，敦促立即升级

PHP开发团队已于10月21日紧急发布修复版本。根据SI-CERT的补充公告，漏洞已在PHP 8.5.12、8.4.27、8.3.36和8.2.35中得到修复。官方敦促所有管理员立即更新，并特别注意：仅更新命令行版本的PHP并不足够，必须确保Web服务器实际加载的PHP进程（如php-fpm或Apache mod_php）也已更新并重启，否则旧代码仍会在运行中的进程中生效。

对于仍在使用PHP 8.1及更早版本的用户，官方不再提供常规支持，但已为7.4、8.0和8.1提供了仅源代码形式的后向移植补丁。安全专家强调，在补丁安装并重启服务之前，临时配置修改无法完全消除风险，不应替代官方更新。

截至发稿时，尚未有关于该漏洞遭大规模实际利用导致数据泄露或系统失陷的确认报告，但安全机构普遍警告，补丁发布后的数小时至数天内是攻击者逆向分析并开发利用工具的高风险窗口期。

本文来源：阿里研究院，国家信息中心网

主笔专家：刘庆功

责任编辑：编辑部-马俊驰

最后更新时间：2026年10月22日