漏洞威胁全球网站 PHP两项高危缺陷获紧急修复

人工智能协助网络安全研究人员发现，广泛用于网站建设的PHP程序存在两项严重漏洞，可能允许攻击者在没有登录账号或密码的情况下，远程执行恶意代码，进而控制受影响的服务器。

这两项安全缺陷分别编号为CVE-2026-109618和CVE-2026-109619，严重程度均达到CVSS 4.0评分标准的9.2分。PHP开发团队已于2026年10月21日发布紧急安全更新，并呼吁使用受影响版本的机构尽快安装。

由于PHP被全球大量网站使用，相关警告不仅涉及科技企业，也影响政府机关、学校、医院和公共服务平台。

为什么PHP漏洞影响范围如此广泛？

PHP是一种主要在服务器端运行的编程语言，被广泛应用于网站和网络服务。

WordPress、Drupal、Joomla等内容管理系统都可以使用PHP运行。这意味着，即使普通用户没有听说过PHP，也可能每天访问依赖这种技术的网站。

安全公司Wiz估计，PHP为全球约70%的网站提供技术支持。

不过，这不代表全球70%的网站都存在可以被利用的漏洞。实际风险取决于网站使用的PHP版本、服务器运行方式、相关安全配置，以及是否已经完成更新。

研究人员指出，这次发现的问题存在于PHP核心程序，而不只是某个网站插件或主题之中。因此，即使网站应用程序本身没有明显编码错误，底层PHP环境仍然可能构成安全风险。

两项漏洞都可能让攻击者绕过登录

第一项漏洞CVE-2026-109618与PHP处理内存不足情况时的程序行为有关。

研究人员发现，在特定条件下，服务器处理请求时可能留下异常的内部数据，使攻击者有机会利用内存错误执行未经授权的代码。

第二项漏洞CVE-2026-109619涉及程序发生严重错误之后，部分内部状态没有得到正确清理。

在特定环境中，后续请求可能错误地使用已经释放的内存，引发安全问题。

两项漏洞都已被证实可能在特定条件下导致未经身份验证的远程代码执行。这意味着，攻击者不一定需要取得网站管理员的密码，就可能利用存在缺陷的服务器环境发起攻击。

网站遭到利用后可能发生什么？

安全研究人员警告，成功利用漏洞可能让攻击者读取敏感信息、执行未经授权的程序，或者修改网站内容。

在部分情况下，服务器内存可能包含密码、身份验证令牌、应用程序密钥等敏感资料。

如果攻击者进一步取得系统访问权限，还可能尝试进入机构网络中的其他设备，扩大攻击范围，甚至为勒索软件攻击创造条件。

存在漏洞、遭到攻击尝试和确认数据失窃，是三个不同的情况。目前不能将所有受影响网站都视为已经遭到入侵。

人工智能如何缩短漏洞发现时间？

此次安全事件引发关注的另一个原因，是人工智能在发现程序缺陷过程中发挥了重要作用。

网络安全公司Calif的研究员Ryan Austin参与了相关研究。

Calif表示，研究团队于2026年7月30日开始审查PHP，8月1日便发现了可能导致远程代码执行的问题，并于8月11日正式向PHP安全团队报告第一项漏洞。

另一家网络安全公司Wiz也独立发现并报告了相关缺陷。Wiz研究团队使用了包括Wiz Atlas在内的人工智能辅助工具，以及先进语言模型分析代码、验证漏洞和测试修复方案。

OpenAI也参与了漏洞研究和后续协调工作。

不过，整个过程并不是人工智能独立完成的。漏洞分析、技术验证、安全修复以及对外披露，仍然需要研究人员和PHP维护团队共同参与。

部分问题早在2024年就已出现迹象

PHP基金会承认，早在2024年的一次外部安全审计中，研究人员就已经发现了与其中一项内存问题有关的早期迹象。

但当时尚未找到能够证明远程执行代码的具体攻击路径。

开发人员还担心相关修复措施可能影响其他程序的兼容性，或造成新的技术问题。

由于维护团队资源有限，修复工作一度延迟。直到2026年8月出现更加明确的技术证据后，问题的严重程度才得到充分确认。

多国机构暂时关闭部分网站

PHP安全警告发布后，部分政府机构和企业采取了预防措施。

路透社报道，欧洲和其他地区一些政府、学校及医疗机构暂时关闭网站或网络服务，以便检查系统并安装必要补丁。

德国部分联邦政府网站采取了临时下线措施，其他国家的公共服务也出现不同程度的中断。

这些措施可能影响公众在线办理行政手续、查询资料或使用数字服务。

但网站暂时关闭并不一定意味着已经遭到黑客攻击。在部分情况下，机构主动暂停服务，是为了减少漏洞尚未完成修复期间的风险。

哪些PHP版本需要更新？

PHP开发团队已经发布四个针对相关漏洞的安全版本，网站管理人员需要确认所使用的程序版本及服务器环境。

对于使用旧版本PHP的网站，管理人员需要检查软件维护状态，并按照操作系统发行商或托管服务商的安全建议升级。

PHP 8.1及更早版本已不再获得官方常规安全更新，可能需要迁移到仍受支持的版本，或确认系统供应商是否提供了专门的修补程序。

PHP官方明确表示，安装正式安全更新才是可靠的长期解决方式。

为什么发布补丁不代表风险已经结束？

软件开发团队公布补丁后，安全问题并不会自动从互联网消失。

大型机构可能需要先验证更新，确认不会影响数据库、网站程序或其他关键业务。小型网站则可能缺乏专门负责安全维护的技术人员。

一些旧网站长期使用不再更新的软件，管理人员甚至未必清楚服务器安装了哪个PHP版本。

因此，只要仍有服务器运行受影响的旧版本，风险就可能继续存在。

人工智能同时改变网络防御和攻击能力

此次事件显示，人工智能正在改变网络安全研究的工作方式。

研究人员可以利用相关工具快速分析大量代码，寻找复杂错误，并协助测试安全补丁。

但是，同样的技术能力也可能被攻击者利用，帮助其寻找尚未修复的弱点。

从PHP此次事件来看，问题不只是人工智能发现了两项漏洞，更是全球大量网站都依赖相同的基础技术。

当底层软件出现严重缺陷时，影响可能同时扩散到企业、公共机构和普通民众使用的网络服务。

因此，对网站管理人员而言，最重要的措施是核实PHP版本、安装官方安全补丁，并持续关注服务器和应用程序是否出现异常行为。

STAY TV 综合报道：STAY TV