- 发布日期
PHP爆雷引发全球紧急「拔网线」，别指望 AI 拯救互联网
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
互联网经历了惊魂48小时。10月20日夜间起，芬兰交通与通信局关停部分在线服务，荷兰电子身份系统DigiD、政务平台MijnOverheid及国家网络安全中心网站一度下线，日本pixiv、Niconico、BOOTH等平台宣布紧急维护，连寿司郎的小程序也暂停运行。各国机构如临大敌，源于两个刚刚公开编号的PHP漏洞：CVE-2026-109618与CVE-2026-109619。安全社区将其命名为PHP2Shell——攻击者只需发送一个请求，就能在服务器上取得shell控制权。
10月21日，PHP官方发布8.5.12、8.4.27、8.3.36和8.2.35紧急更新，确认两个漏洞的CVSS评分均为9.2分（满分10），无需账号密码即可远程利用。在最常见的Apache部署方式下，攻击在网站自身代码运行之前就已触发。这解释了为何响应最先出现在欧美与日本——当地基于WordPress的资产数量最多，而PHP正是支撑这些应用的地基。
据W3Techs数据，在可识别服务端技术的网站中，69.3%使用PHP，第二名JavaScript仅占8.1%。WordPress、Drupal、Joomla、Magento以及维基百科背后的MediaWiki均运行于PHP之上。此次漏洞位于PHP解释器内核，与上层应用无关。发现者之一Wiz表示：“哪怕你的网站上只跑着一个Hello World，也照样受影响。”
两个漏洞的技术原理并不新鲜，关键在于被证明真的可利用。CVE-2026-109618源于PHP处理内存耗尽时的粗糙急刹车（longjmp），若刹车踩在某个微妙时刻，内部数据只初始化一半，清理流程却将其当作正常数据处理；CVE-2026-109619则是请求结束后全局状态未清理干净，同一工作进程处理下一请求时可能使用已失效内存，还能泄露其他用户的密码、令牌和API密钥。
披露过程同样失控。漏洞细节原定10月22日协调公开，但10月20日Hacker News出现声称评分10.0的帖子，截图迅速传开；安全公司watchTowr数小时内确认属实并复现其一。PHP团队当晚提前24小时发版，Calif误发的演示视频随后疯传，发行商Chainguard又单方面打破保密协议抢先发布含修复的镜像。补丁本身成了“漏洞地图”，对比新旧二进制即可反推漏洞位置。
AI在这次事件中的角色引发争议。OpenAI发文将其列入自身AI安全成果，称Calif研究人员借助GPT-5.6 Sol找到关键缺陷。但Calif随即在X上“正名”，指出Ryan Austin才是第一发现者，其8月5日的推文已含发现哈希。Ryan在官方复盘中强调，初次发现未依赖特殊工具框架或非公开模型，对目标历史的了解决定了追查方向，“简单提示词还做不到让模型找出所有漏洞”。
修复难题仍在延续。新版本仅覆盖PHP 8.2至8.5四个分支，而同日数据显示，全部PHP网站中仍有27.0%运行PHP 7.x、7.7%运行PHP 5.x，这些停止维护的版本拿不到官方补丁。计算机取证专家Hal Pomeranz警告：“有太多嵌入式安装永远不会被打补丁，太多被遗忘的、无人维护的应用。这一次，长尾会很长。”
Cloudflare已宣布其WAF防护规则对包括免费版在内的全部客户默认生效，并上线“全事务检测”能力，将请求与源站响应关联判断攻击是否得手。即便如此，Cloudflare当天就观测到针对客户的攻击流量，以及攻击者不断变形载荷绕过规则的尝试。PHP基金会将此次事件称为一次“结构性失败”，而这场没有终点的修补，才刚刚开始。
