PHP2Shell：严重PHP漏洞引发全球紧急补丁和网站关闭

2026年10月21日，PHP项目发布了紧急更新——版本8.5.12、8.4.27、8.3.36和8.2.35——以修复两个被安全研究人员和供应商昵称为「PHP2Shell」的严重安全漏洞，根据Help Net Security和加拿大网络安全中心的报告。这些漏洞被编号为CVE-2026-109618和CVE-2026-109619，都被描述为严重级别的问题；本文所查阅的资源没有引用官方的数字CVSS评分。

漏洞的作用

两个漏洞都是PHP在异常条件下处理请求的内存安全漏洞，Bleeping Computer和Help Net Security报告称。CVE-2026-109618发生在内存不足错误在PHP的内部请求数据只是部分设置时中断，因此后来的清理程序将该不完整数据视为有效。CVE-2026-109619是一个陈旧状态漏洞：绑定到一个请求的内存可以被释放，然后在同一工作线程上被后续请求重用，在被正确重置之前，这可能会暴露数据或允许代码执行。

加拿大网络安全中心将两者都分类为释放后使用漏洞（CWE-416），并表示成功的攻击让未经身份验证的攻击者可以在服务器上运行任意代码，无需密码或任何用户操作。该机构表示mod_php部署面临最高风险，因为已证实的漏洞利用可以在任何应用程序代码有机会运行之前触发该漏洞——Bleeping Computer报告称PHP安全团队也使用了这种描述。

该漏洞影响每个提供Web请求的PHP安装，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed，根据Bleeping Computer和加拿大公告。Fortune报告称，底层代码在PHP中存在了十多年，尽管官方修复仅针对积极支持的8.2–8.5分支发布，但源级别反向移植可用于7.4至8.1，这些版本已超过其生命周期终止支持日期。

如何发现的，以及AI在这里为什么重要

根据Fortune的报道，有缺陷的代码在PHP中存在了十多年，但三个独立的方在2026年8月汇聚到一起：安全公司Wiz、一家名叫Calif的公司和OpenAI，与PHP基金会合作进行修复和协调披露。Fortune报道称Wiz使用包括OpenAI的GPT-5.6 Sol和Google的Gemini 4 Argon在内的AI模型来帮助理解该弱点并将其转变为可工作的漏洞利用。Wiz告诉Fortune该案例代表了由AI驱动的转变，表示虽然有缺陷的代码存在了十多年，但改变的是研究人员使用AI来理解弱点并将其转变为可工作漏洞利用的能力。

Fortune还报道称OpenAI在其自己的声明中表示，该事件显示了AI如何能够帮助发现具有互联网规模影响的安全漏洞，同时承认相同的AI能力也可以帮助攻击者更快地开发攻击工具和漏洞利用。

漏洞利用尝试和Cloudflare的早期回应

Cloudflare在其官方博客上表示，它在10月21日UTC时间03:02激活了Web应用防火墙规则，这比漏洞公开披露大约提前九小时。根据ppc.land总结的Cloudflare帖子，该公司为免费层客户推出了七条「通用规则–异常执行」，为付费计划推出了一套单独的七条等价规则，以及一条额外的规则，在同一事务中检查请求和响应。同一帖子表示Cloudflare观察到攻击者随后改变了其漏洞利用负载，试图逃避新规则，尽管它没有发布确切的攻击量数据。

另一方面，根据Bleeping Computer的报道，Amazon的威胁情报团队表示它从2026年10月17日开始检测到针对这些漏洞的利用尝试——比公开补丁早四天——这表明某些威胁行为人在一般披露前就获得了漏洞利用详情。相比之下，加拿大网络安全中心公告指出，在撰写公告时，它还未发现积极利用，但警告说情况可能会迅速变化。这两项评估反映了不同的观察点和时间，而非事实上的矛盾。

日本：政府敦促补丁或关闭

该漏洞在日本引起了特别强烈的关注。日本国家网络安全办公室是NISC的后继机构，在2025年7月进行了重组，根据BigGo Finance对该机构声明的报道，发布了一份公告，敦促运营商检查他们的网站是否运行PHP并迅速采取行动。根据BigGo Finance的报道，首相高市早苗在X上发布了帖子，称其为「今晚每个人都要应对的紧急请求」，并表示如果无法立即应用补丁，临时暂停网站可能是一种有效的风险降低方式。

根据BigGo Finance的报道，遵循这一指导，多项日本在线服务在10月21日晚进行了紧急维护，包括托儿管理平台CoDMON、卡牌游戏Shadowverse: Worlds Beyond、在线商店建构工具BASE和托管提供商Sakura Internet。同一报道称，PHP的官方补丁在日本时间晚上10:40左右发布，早于最初宣布的晚上11点目标。

另外，Internet Watch（Impress）报道称，日本通信提供商Baltec在检测到未授权访问且可能暴露个人数据后，暂停了大约23项服务——涵盖云、预订、销售点和费用管理工具。Baltec最初将该事件归咎于针对PHP漏洞的网络攻击，但该公司在同一天发布了更正，称实际原因是其自身服务中的漏洞，而不是PHP漏洞，在回顾其与PHP相关的安全措施时表示其混淆了两个问题。Internet Watch报道称Baltec针对10月26日的服务恢复。

暴露范围

据Fortune报道，PHP为全球大约70%的网站提供动力，包括WordPress网站、Wikipedia、Microsoft.com和Archive.org，并指出大约40%的所有网站运行在WordPress上，WordPress本身依赖PHP。Fortune还提到初步扫描发现了2260万个可能易受攻击的PHP实例暴露在互联网上。

仍然未知的

根据现有报道，没有来源确认直接由PHP2Shell漏洞利用造成的大规模破坏成功，而不是预防性关闭。关于总利用尝试次数的数据因来源和测量窗口而异：根据Yahoo! News的日本报道引用Cloudflare首席执行官的话，描述了尝试次数从披露前的数千次在45分钟内增长到数万次，在两小时内达到数十万次，到那份报告发布时总数据据称达到了数百万次；Cloudflare自己的博客文章没有重复这些具体数字。读者应该将精确的攻击量数字视为初步的，可能被跟踪这些数据的组织进行修正。