两个 9.2 分漏洞：无需登录即可远程执行代码
10 月 21 日 14 时（北京时间 22 时），PHP 官方按计划放出安全更新，修复核心解释器中的两处远程代码执行漏洞，编号分别为 CVE-2026-109618 与 CVE-2026-109619。按照 CVSS v4.0 评分体系，两处漏洞均被官方定为 9.2 分的「严重」级别。这类漏洞的可怕之处在于：攻击者不需要任何账号密码，只要服务器对外提供 Web 服务，就可能通过一个精心构造的请求直接在机器上执行任意代码。
托管服务商 GoDaddy 在预警中写道，漏洞可能导致数据被盗、网站内容被篡改，严重时整个系统都会沦陷。安全公司 watchTowr 的研究人员透露，他们已经实际复现了其中编号为 CVE-2026-109618 的漏洞，只是在补丁落地前刻意保留了技术细节。至于影响范围，CERT-EU 与澳大利亚网络安全中心（ACSC）的判断是 PHP 5 之后的所有版本理论上都可能中招，不过官方补丁只会覆盖仍在维护的 PHP 8 系分支。
补丁为何提前：漏洞信息先行泄露
这次发布原本是一场精心安排的「同步披露」。安全研究圈有一条惯例：漏洞在修复完成前处于保密状态，厂商与各发行版、托管商协调好，补丁与公告同一天上线。10 月 20 日，一位用户在 Hacker News 发帖爆料，称有两个评分高达 10.0 的 PHP 远程代码执行漏洞即将披露，涉及 PHP 5 之后的全部版本。帖子很快被删除，但截图已经传遍 X 和 Mastodon。
watchTowr 随即公开确认漏洞属实，PHP 官方也被迫把发布时间从原定的 10 月 22 日提前到 21 日。官方在公告中留了一句意味深长的话：如果漏洞细节继续外流或出现实际利用迹象，发布时间还可能进一步提前。安全圈给这套利用思路起了个外号叫 php2shell——发一个请求，拿到一个 shell。据 Huntress 观察，一段演示利用过程的视频曾短暂出现在网上，之后又被删除。Cloudflare 的首席技术官 Dane Knecht 则表示，已有早期攻击出现，团队正在更新防火墙规则作为临时缓解手段。
监管机构罕见建议：修不了就先下线
CERT-EU 在 10 月 20 日的公告中敦促各机构做好补丁发布后立即修复的准备，无法及时修复的机构则应考虑让受影响网站暂时下线。英国国家网络安全中心（NCSC）给出了类似口径：如果短期内无法完成修复，就应把系统从公网隔离，直到风险解除。对公共部门机构而言，让官网下线是一个相当罕见且代价不小的动作。
据路透社报道，21 日当天，荷兰与芬兰的部分公共机构网站已作为预防措施率先下线。ACSC 的建议则更侧重排查：找出环境里所有使用 PHP 的系统，准备好补丁，并持续监测应用是否出现恶意活动迹象。该中心同时强调，目前尚未观察到这些漏洞被实际用于攻击的证据。
WordPress 站长最该关心什么
PHP 支撑着 WordPress、Drupal、Joomla、Magento 等主流建站系统，以及大量共享主机和管理面板。安全公司 Huntress 的说法很直白：很多软件甚至不标注自己底层跑着 PHP，但它们都暴露在同一片风险之下。这次官方修复版本为 PHP 8.5.12、8.4.27、8.3.36 与 8.2.35，各 Linux 发行版和长期支持版供应商已提前拿到补丁，管理员应向对应供应商确认更新包的推送时间。
PHP 基金会点名的高危场景是所有直接对外提供 Web 请求的运行方式，包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 与 LiteSpeed，其中 mod_php 风险最高——已验证的利用甚至可以在任何应用代码运行之前触发。仍在使用 PHP 8.1 及更老版本的站点拿不到官方补丁，只能联系供应商寻求移植版本，或者尽快升级到受支持的分支。WordPress 防火墙插件 Wordfence 提醒了一个常见误区：WordPress 的自动更新只管插件和主题，不会替你更新 PHP 本体，站长需要弄清楚自己的服务器由谁负责升级。Huntress 还给出了监测思路：留意 PHP 进程是否异常拉起 bash、powershell、curl 之类的子进程。对普通访客来说，网站被攻陷后最常见的后果是被植入跳转或仿冒页面，浏览器一侧的防护同样重要，此前我们介绍过 Chrome 的反诈骗新功能，可以配合使用。
值得一提的是，上一轮例行安全更新 8.5.11、8.4.26、8.3.35 与 8.2.34 是在 9 月 24 日发布的，距离这次紧急发版还不到一个月。为一个漏洞事件打破节奏、提前单独出包，对 PHP 项目来说并不多见。对托管在虚拟主机上的用户来说，最直接的自查方式是确认自己当前运行的 PHP 版本号，再向服务商问清升级计划。
写在最后：老基础设施的沉重尾巴
回头看这次事件，真正值得玩味的不是 9.2 这个分数，而是时间线——漏洞本该在周四统一披露，却在泄露后被迫提前一天发补丁，协调披露机制的美好设想在信息时代脆弱得像个玩笑。还有一个更大的阴影：PHP 5 和 PHP 7 早已停止维护，但互联网上仍有相当数量的服务器跑在这些老版本上，它们注定拿不到官方修复，成了攻击者眼中永不挪窝的靶子。
对普通站长而言，这次的处理路径其实很朴素：盘点资产、确认 PHP 版本、补丁一到立即升级，实在来不及就先断网。开源组件支撑着大半个互联网，一个核心漏洞就能让全球的运维在同一晚加班。也许比起追逐某个具体补丁，定期给服务器做版本盘点、淘汰停止维护的老运行时，才是更值得养成的习惯。
