严重的PHP漏洞迫使政府网站在紧急补丁发布前下线

根据The Hacker News和安全公司Sansec的报道，PHP开发团队在详细信息在一天前泄露到网上后，安排了一个在2026年10月21日14:00 UTC的计划外安全版本发布，以修复两个严重漏洞。这些漏洞被跟踪为CVE-2026-109618和CVE-2026-109619，研究人员非正式地将其昵称为PHP2Shell，但PHP自己的团队没有采用这个名称，The Hacker News报道。

漏洞是什么

根据Sansec的技术文章，CVE-2026-109618是PHP上传进度处理中的use-after-free漏洞，可以通过PHPSESSID cookie泄露服务器内存——包括密码、会话令牌和TLS私钥——该公司将其与2014年的Heartbleed漏洞相比较。CVE-2026-109619是一个单独的use-after-free漏洞，在内存耗尽期间发生致命错误时触发，结合PHP OPcache中的类型混淆，Sansec称这使远程代码执行成为可能。这两个漏洞都通过multipart/form-data请求到达，这是网页用于文件上传的格式。

英国国家网络安全中心（NCSC）在其10月21日的通告中将该风险描述为允许攻击者在无需登录的情况下在任何运行PHP的网络服务器上执行命令，并将该问题评为严重。

为什么政府和平台下线

由于PHP支撑了网络的大部分，几个组织选择关闭面向公众的网站而不是等待补丁。Techzine报道荷兰政府服务（包括MijnOverheid、DigiD和议会系统）被临时下线，KSL刊登的新闻稿称荷兰和芬兰的网络安全机构作为预防措施关闭了政府网站。Techzine还报道英国NCSC和美国网络安全与基础设施安全局（CISA）发出警报，敦促管理员修补或禁用受影响的系统，而维基百科和Meta通过应用修改的PHP运行时和网络应用防火墙规则而不是宕机来保持运行。

Sansec报道称PHP核心开发者Gina Peter Banyard将在补丁到达前将服务器下线描述为无法立即应用修复的组织的最合理选择——几个荷兰机构遵循了这一建议。

Cloudflare表示在官方补丁发布前开始看到利用尝试。根据KSL的报道，Cloudflare首席技术官表示该公司正在观察早期攻击，并在出现新的攻击方法时不断更新其缓解措施，将Cloudflare的保护描述为在PHP官方修复到达之前的临时权宜之计。Sansec单独报道称Cloudflare检测到攻击从2026年10月21日07:43 UTC开始，大约在PHP计划修复前六小时。

• WordPress、Drupal、Joomla和Magento，基于PHP构建的内容管理和电子商务系统
• Sansec命名为已确认易受攻击的特定版本：Magento 2.4.9、WordPress 7.1.2、Drupal 11.4.3、Joomla 6.1.4、MediaWiki 1.46.2、Roundcube 1.7.4、phpMyAdmin 5.2.3、Nextcloud 35.0.1、Laravel 13.11和Symfony 8.1
• 根据NCSC通告，包含PHP的共享主机平台和控制面板
• 荷兰政府服务DigiD和MijnOverheid，根据Techzine

暴露规模：估计不一

已知内容和未知内容

PHP团队确认PHP 8.2、8.3、8.4和8.5将收到官方修复——根据The Hacker News，预期版本为8.5.12、8.4.27、8.3.36和8.2.35——而生命周期已结束的分支8.1及更早版本将不会被供应商修补。然而，Sansec表示潜在的有缺陷的代码可追溯到PHP 5.4.0，这意味着许多较旧的不受支持的安装可能仍然容易受到攻击，没有官方修复可用。根据The Hacker News，截至其10月21日的报道，没有公开的概念验证漏洞可用，该漏洞也未被添加到CISA的已知利用漏洞目录中——尽管Cloudflare后来的声明表明攻击尝试已经在进行中。

背景：如何发现漏洞

Sansec的时间表将第一个漏洞追溯到2026年8月1日开始的研究，由使用Calif句柄与OpenAI合作的研究人员进行，他于8月11日向PHP安全团队报告了该漏洞。第二份相关报告来自Wiz Research团队——Sansec命名为Sagi Tzadik、Shir Tamari、Nir Ohfeld和Tomer Schwartz——于8月24日提交。Sansec表示两个研究团队都将AI模型加快在PHP版本间查找和适配漏洞的工作归功于AI模型，据报道一位研究人员在约一周内达到了可工作的漏洞利用。协调的禁用披露的详细信息在10月20日公开泄露，促使PHP提前其公告并设定10月21日补丁发布。