PHP曝出兩個高危漏洞，多個政企網站緊急停服避險

快科技10月22日消息，今天凌晨的全球互聯網迎來了史無前例的一次危機，曾經被調侃為最好的編程語言的PHP曝出2個高危漏洞，影響極大，大量政企網站不得不緊急關站停服修漏洞。

這次的漏洞代號PHP2Shell，編號為CVE-2026-109618及CVE-2026-109619，CVSS 評分高達 9.2，watchTowr 甚至給出滿分10.0，屬於高危漏洞了，而且隱藏了10多年，從2012年發佈5.4版PHP就存在了。

根據PHP官方説法，攻擊者不用登錄，發特製請求就可能在服務器上執行任意代碼，相當於能拿到整台服務器。

這次的漏洞是AI發現的，OpenAI稱安全公司Calif早在8月就用GPT-5.6 Sol發現了漏洞，而另一家安全公司Wiz用了Gemini 4 Argon和GPT-5.6 Sol也獨立發現了漏洞，OpenAI牽頭協調開發者與安全公司修復。

本來PHP官方計劃是22日才發佈安全修復補丁，但消息提前在20日就被泄露在網上，緊急提前到21日發佈修復補丁，這也引發了全球網站混亂。

甚至有很多政企網站在補丁發佈之前不得不臨時下線關站來防止攻擊，芬蘭政府多個網站（包括國家土地測量局）、法國政府網站、荷蘭網絡安全中心官網、鹿特丹港網站等已臨時下線避險。

這次影響範圍有多大？PHP相當於全球互聯網的核心基建了，估計70%的網站都在用它構建，包括很出名的WordPress、Drupal、Magento等。

安全公司Palo Alto Networks的Cortex Xpanse通過遙測數據識別出超過2260萬公網暴露的、可能受影響的PHP實例。

獨立安全研究員估算有超過130萬至190萬台公網運行PHP的主機存在潛在風險，因此整體的影響極大，是否中招可以用這個網址來檢測下。

這個漏洞影響大到日本首相都罕見地在網上發帖，用重大事件來形容這次的危機，呼籲網站管理者今晚就處理。

具體怎麼修復呢？PHP官方10月21日緊急發佈8.5.12、8.4.27、8.3.36、8.2.35補丁，然而問題在於官方維護的只有8.1之後的版本，此前的版本還有大量用戶在用，這些網站或者論壇就暴露在風險中了。

這些網站也不只是個人用戶，有大量政企網站的舊版本不是想升級就能升級的，這也是前面提到的很多歐洲政府網站只能關站停服的原因，在沒有好的解決辦法之前只能關站避險。

雖然PHP的這兩個漏洞是安全領域這兩天最大的雷，但它們還不是唯一的，這幾天暴雷的安全事件還有很多，另一个基建项目Node.js被發現了10個漏洞，其中4個高危級別。

此外印度的CA證書機構也曝出了極為腦殘的安全問題，把4作為證書密鑰，原本應該是70多位，這樣的弱智密碼在黑客面前就是兒戲一樣，幸好Chrome和FireFox反應夠快，幾個小時內就拉黑了印度機構的8個證書。

【本文結束】如需轉載請務必註明出處：快科技

責任編輯：憲瑞

新浪科技公眾號

“掌”握科技鮮聞 （微信搜索techsina或掃描左側二維碼關注）

科學大家

新浪科技

新浪科技為你帶來最新鮮的科技資訊

蘋果匯

蘋果匯為你帶來最新鮮的蘋果產品新聞

新浪眾測

新酷產品第一時間免費試玩

新浪探索

提供最新的科學家新聞，精彩的震撼圖片