PHP团队针对两项9.2分严重漏洞发布补丁，影响波及全球近七成网站环境

PHP项目维护组织在2026年10月21日推出了数个紧急补救版本，重点修补了被编目为CVE-2026-109618与CVE-2026-109619的两处严重软件弱点。¹ 在CVSS v4.0安全基准评级体系当中，这两项漏洞双双被判定为9.2分的高危级别。¹ 处于外部网络中的攻击者完全不需要具备任何身份验证凭据，即可远距离激活这些脆弱点进行破坏。¹ 此次官方给出的直接升级方案覆盖了主流支持分支，包含了8.5.12、8.4.27、8.3.36以及8.2.35四个修补版本。¹

依照原本的处置排期，PHP维护团队计划在10月22日正式取消关于缺陷的信息封锁。⁴ 但由于安全形势变化，开发方决定把补丁公开时刻提前到了协调世界时10月21日14点。⁴ 这一系列漏洞主要波及经由网络接受并处理外部调用的PHP运行实例。¹ 其中，采用Apache mod_php机制进行集成的部署架构会承担更为突出的被攻击风险。¹

从代码层面的机理来看，CVE-2026-109618是由运行环境在遭遇内存耗尽时的逻辑缺陷所导致的。¹ 程序在清除无用数据片段的过程中可能发生内存状态损坏，从而为攻击者开启执行任意远程指令的大门。¹ 另一处编号为CVE-2026-109619的缺陷，则关乎内存释放后的内部残留状态管理。¹ 由于这些未彻底清理的结构在承接后续请求时被反复调用，系统因此暴露出严重的安全隐患。¹

这两项漏洞在广阔的互联网底层掀起了不小的波澜，因为全球范围内有大约69.3%的网站均依托PHP语言进行构建。³ 在补丁问世前后的舆论场上，技术交流平台Hacker News曾出现讨论帖，声称有关代码执行漏洞的CVSS评分高达10分且威胁蔓延至PHP 5之后的全线版本。³ 针对这组安全漏洞设计的自动化工具PHP2Shell被指称能够在PHP 5.4.0以及更高的版本环境中保持运作能力。³ 负责欧盟网络安全应急响应的小组已针对CVE-2026-109619以及CVE-2026-109618这两项漏洞标识作出确认，同时提示自PHP 5开始的后续版本皆在潜在威胁之列。⁷

面对如此庞大的技术基础，各地区管理机构与企业的系统支持能力受到了考验。¹³ 早在补救措施正式对外公开之前，荷兰和芬兰辖内的部分政务机构就已先行关闭了相关站点以进行防范。¹ 在日本市场，自21日夜间开始，BASE、Pixiv、DMM.com、niconico、さくら互联网以及多家网络游戏产品也相继发布紧急停机公告或暂时阻断了线上服务。⁶ 据分析，由于补丁刚面世时大部分站点无法即刻完成全面更新，促使多国公共管理部门与互联网企业采取了先行动手切断外部访问的保守防卫手段。¹

虽然当下的活跃版本迎来了修补，但历史版本的使用群体却陷入了维护困境。¹ PHP官方团队此前早已停止为8.1及更早以前的发布代号提供直接安全维护。¹ 这些老旧版本的系统若想获得防护，需要依赖外部的Linux发行版厂商或者软硬件供应商出面制作向后移植的补丁程序。¹ 这表明如果那些仍旧依托PHP 5等老旧环境的站点拿不到供应商层面的移植支持，就将长期置身于没有官方直接补救手段的无保护状态之下。¹

整体来看，从漏洞的细节定性到全网的应急排查，整个防御生态经历了高度紧张的时间窗口。¹⁴ 尽管网络传言中的10分满分评估与最终CVSS 9.2分的标准定级略有出入，但其无凭证即可远程利用的破坏性依旧引起了广泛重视。¹³ 受影响的部署形态中尤以使用mod_php的Apache架构为甚，运维各方必须针对自己的服务运行状态实施审慎隔离与评估。¹ 这起波及全球数十万乃至数百万在线设施的突发事件，清晰勾勒出了老旧网络基础设施在面临零日级缺陷时所呈现的系统性脆弱。¹³

在补丁发布的后续阶段，各方仍需要严密关注漏洞利用载荷的扩散动向。¹³ 由于像PHP2Shell这样的利用代码据称已经具备了跨越多个主版本的执行潜力，防护周期的拉长可能进一步加剧未修补机器的暴露风险。³⁷ 特别是对于无法享受PHP 8.2以上直推补丁的庞大基数而言，等待供应链与发行商的移植过程是一段明显的安全空白期。¹ 全球多数站点潜在受扰的现实，表明技术堆栈的世代交替与应急升级体系依然是摆在现代网络维护者面前的严峻课题。¹³

综上所述，CVE-2026-109618与CVE-2026-109619所引发的危机推动了多国机构与跨国互联网企业展开前所未有的防护阻截。¹⁶ 从提前数小时公布的修复版本到各类服务的主动停机，快速应对成为了降低破坏的首要选择。¹⁴ 随着各个平台陆续恢复运转或跟进补丁，如何彻底消除由于老旧版本无法官方直修所遗留的长尾风险，仍是各方无法回避的问题。¹⁶ 这次事件也再次向技术界展示了这一支撑着近七成网络世界的编程语言在发生核心内存故障时的巨大连锁反应。¹³