PHP 爆超危漏洞，全球网站连夜抢修

10 月 21 日，PHP 官方提前发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，修的是一对被安全圈叫作「PHP2Shell」的漏洞：CVE-2026-109618（内存耗尽处理时，未初始化数据被当成有效数据）与 CVE-2026-109619。两个都是 CVSS 4.0 评分 9.2，未经身份验证就能远程执行任意代码；最危险的是 Apache 的 mod_php 模式，攻击在你自己的代码跑起来之前就发生。

发布因技术细节提前外泄，比原定时间往前挪；公告写得很直白：没有完整的缓解办法，升级是唯一安全的选择。安全公司 watchTowr 当天就在蜜罐网络里观测到在野利用；英国国家网络安全中心 10 月 21 日发警报，建议修不了就先关站。日本、芬兰、荷兰、法国的部分政府网站与英国预算责任办公室预防性下线。

为什么动静这么大：安全公司 Wiz 估计全球约七成网站用 PHP，而这两处缺陷的代码已经存在超过十年。发现方式更值得记：研究人员先用 GPT-5.6 Sol 找出漏洞，再用 OpenAI 一款尚未发布的模型完成利用验证——AI 同时缩短了找漏洞和把漏洞变成武器的时间。

中国这边，工信部网络安全威胁和漏洞信息共享平台（NVDB）10 月 22 日发出风险提示，点名 8.5 系列低于 8.5.12、8.4 低于 8.4.27、8.3 低于 8.3.36、8.2 低于 8.2.35，以及 8.1 及更早版本，建议立即升级；做不到就先临时下线、关闭会话上传进度功能、做网络隔离，并更换账号与密钥。另外 PHP 8.2 将在 2026 年 12 月 31 日停止支持。

对普通人意味着什么：你不需要懂 PHP，但要确认三件事——自己的网站或小程序后台是否已升级；托管商有没有发通知；用同一套密码的账号立刻改掉。官方临时缓解只在特定路径有效：内存那条要把 memory_limit 设成 -1 并压住请求体大小，状态残留那条要把 session.upload_progress.enabled 关成 0，改完重启所有 worker。

出处：联合早报 · 原文发布：2026-10-22