PHP重大漏洞遭泄露，多国网站紧急下线

金天的网络安全

2026年10月22日 12:01
北京

去阅读

2026年10月21日，PHP官方披露两项严重漏洞并发布安全更新公告：CVE-2026-109618和CVE-2026-109619。建议运行PHP Web服务的用户尽快升级，并依据实际SAPI、应用操作及配置评估风险。

官 方 修 复 方 案

• 尽快升级至PHP 8.2.35、8.3.36、8.4.27、8.5.12或对应分支后续安全版本。这些版本同时修复上述两项漏洞；升级至包含完整补丁的版本是完整修复方案。

• 从PHP官方或操作系统供应商获取更新。使用发行版回补补丁时，依据供应商安全公告确认修复状态，不能仅比较上游版本字符串。

• 完成更新后重启全部PHP工作进程和相关服务，核对实际Web SAPI的版本及生效配置，避免仅检查CLI版本。

多 国 网 站 下 线 自 保

PHP是一款网站开发编程语言，全球大约七成网站都在采用。本次爆出问题的相关代码最早在2012年推出的PHP 5.4.0版本中就已存在，该风险在默认配置下就会生效，也就是说这个漏洞已经潜藏超过十年。

该漏洞在今年8月，由网络安全企业Calif与Wiz分别依靠AI技术发现。之后多方在保密机制下协同开展修复工作，历时近两个月。但在补丁正式发布前一日，即当地时间20日，漏洞详情被外泄。PHP安全团队只能对外确认补丁发布计划，黑客抓住这个窗口期，在补丁正式上线的数小时之前就启动攻击行动。

据媒体消息，不少国家为抵御入侵风险，在补丁发布前临时关停相关站点。荷兰国家网络安全中心首先将官网下线，荷兰议会、鹿特丹港口以及多家医院网站陆续关停；芬兰暂停所有面向民众的政府线上业务，法国内政部临时关闭地方政务网站。德国数字部门相关发言人称，联邦IT服务机构ITZBund关停多处网站；日本多家大型互联网平台启动紧急运维。

美国白宫相关人员称，国家网络总监办公室联合FBI等机构统筹处置，督促联邦单位与关键基础设施落实漏洞修复。

PHP于21日放出8.5.12、8.4.27、8.3.36、8.2.35四个修复版本。开发团队提示，攻击者可借助该漏洞在无需账号密码的前提下远程接管服务器，升级版本是唯一可靠的防护手段。

阅读延伸>>