PHP两项重大漏洞，紧急修复版于10月21日发布

PHP开发者公布了两项重大漏洞，两者的CVSS 4.0评分均为9.2。¹ CERT-EU将相关问题分别确认为CVE-2026-109618和CVE-2026-109619，并警告称，漏洞遭利用后，攻击者可能从远程执行任意代码。³ 影响可能波及PHP 5及更高版本的环境；视服务器配置而定，漏洞可能导致无需认证即可执行代码。²³ 数据窃取和网站篡改也被列为可能造成的影响，但实际风险取决于各个服务器的配置。²

PHP方面原计划于日本时间10月21日晚上11时发布修复版。¹ 由于漏洞相关信息开始在网上流传，发布时间提前了。¹ 据报道，原定发布时间从晚上10时调整为晚上10时30分至10时40分。¹ 另有报道说，团队决定比原计划提前一天发布；这两种说法分别反映了因信息泄露而提前发布以及日程调整的情况。¹²

修复工作的来龙去脉可追溯至2024年的一次外部安全审计。¹ 审计发现的问题指向了此次漏洞中的一项。¹ PHP团队解释称，修复受影响的内存管理和错误处理代码很困难，并将应对迟缓形容为结构性失误。¹ 2026年，团队还利用了Claude Mythos和OpenAI开发的Daybreak Red等工具推进安全工作。¹

Calif的研究人员报告了远程代码执行问题，OpenAI也于8月11日报告了相同的根本原因。¹ 据PHP Foundation称，问题集中在内存管理和错误处理代码上。¹ 由于这些代码几乎会处理所有请求，因此问题并非仅限于某一项特定功能。¹ 不过，漏洞可能波及的环境范围，与其能否在各台服务器上实际被利用并非一回事；后者取决于配置条件。²³

PHP被广泛用于网站，WordPress也依赖PHP。³ 据W3Techs称，在已知服务器端语言的网站中，约七成使用PHP。² 这一比例的统计对象是能够确认所用语言的网站，并非所有网站。² 这种广泛应用是应对措施不只涉及个别科技企业，还波及政府、金融、交通和面向消费者的服务的原因之一。³

在日本，樱花互联网、Cygames和pixiv实施了紧急维护。³ 采取应对措施的服务还包括BASE、niconico和DMM.com，游戏方面则包括《碧蓝幻想》和《赛马娘 Pretty Derby》。² 在金融和交通等领域，野村、三菱日联金融集团（MUFG）、全日空（ANA）和东日本旅客铁道暂停了部分互联网服务。⁶ 日本财务省也暂停了网站的部分服务，众多运营方以不同方式限制了访问。²³⁶

日本信息处理推进机构和国家网络统筹室发出警示，首相高市早苗要求迅速做好部署修复程序的准备。² 高市早苗表示，如果难以立即部署修复程序，暂时关闭网站有时可以降低风险。¹ 高市早苗的官方网站也曾在管理员处理问题期间关闭，之后恢复运行。¹ 她还指出，有些运营方可能无法立即注意到夜间发出的警告，因此网站和服务器管理员发挥着重要作用。¹

Cloudflare报告称，在漏洞公开前的一段时间内，观察到数千次恶意利用尝试。⁶ 公开后45分钟内，尝试次数达到数万次；此后不久增至数十万次，随后又达到数百万次。⁶ 该公司还表示，在漏洞公开当天就观察到了针对该漏洞的攻击。² 公开后攻击尝试激增，与当局敦促各方加快准备修复程序或限制访问的背景相符。¹

PHP开发团队于10月21日发布了修复版，但各运营方仍需自行将其部署到各自的系统中。² PHP用户被呼吁在修复版可用后尽快更新。³ 包含修复程序的软件比官方发布时间提前了6个多小时流出。² 演示视频也曾被误公开，删除后副本仍不断传播，因此发布前的信息管理也是促使团队加快应对的因素。² 部署修复版可以堵住漏洞，暂时关闭服务则能减少部署前的暴露；两者是短期风险应对的不同环节。³ 在芬兰，政府机构Valtori于夜间部署安全更新，并逐步恢复公共网站。⁶