PHP 开发者发布了两个关键漏洞的紧急更新，此前网络安全机构已敦促各组织立即打补丁，或者考虑把暴露的应用下线。
PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了 CVE-2026-109618 和 CVE-2026-109619，这两个漏洞可导致未认证的远程代码执行。项目开发者敦促用户立即更新。
所有对外提供 Web 服务的 PHP 安装都可能受影响，包括使用 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 和 LiteSpeed 的部署。开发者表示：我们认为 mod_php 风险最高，已有利用演示表明，未认证的请求能在任何应用代码运行之前触发攻击。
watchTowr 的威胁情报主管 Jake Knott 说：正如预期，watchTowr 情报已经观察到这些最新 PHP 漏洞的在野利用，各种玄学编程出来的 PoC 已经打到我们的传感器上，带着五花八门的 php2shell 用户代理。虽然至今还没有人得手，但我们预计这种情况不会持续太久。
在补丁发布前，CERT-EU 在公告中建议：在无法立即修补的情况下，组织应考虑把面向互联网的应用与公共网络隔离，直到获得修复。两个漏洞的 CVSS 评分都是 9.2。作为预防措施，芬兰政府服务、荷兰议会网站、网络安全机构和数据保护监管机构的网站都已下线；隐私组织 noyb 也临时撤下了自己的网站。
Huntress 指出，PHP 支撑着 WordPress、Drupal、Joomla 和 Magento 网站、共享主机平台、控制面板，以及大量根本不会对外宣传自己跑的是 PHP 的软件。这让识别暴露的安装变成一项大工程。Huntress 高级首席安全研究员 John Hammond 说：需要排查的 PHP 版本数量非常快就会变得非常庞大。对站长们来说，这轮 PHP 紧急补丁务必尽快安排——毕竟你的网站可能正跑在漏洞代码上。
苏公网安备32021302001419号