一个严重的 PHP 漏洞可能导致网站今天宕机

The Verge 新闻
cybersecurity php vulnerability rce wordpress security-patch web-development

摘要

两个严重的 PHP 远程代码执行漏洞（严重程度评分为 9.2/10，影响 PHP 5 及后续版本）促使官方紧急发布补丁，网络安全机构建议尚未安装补丁的网站下线。超过 130 万台主机及所有 WordPress 网站都可能受到影响，专家预计，补丁发布后几分钟内就会出现大规模攻击。

\n\t\t\t\t\t\t\t\t\t\t\t\n\n\t\t\t\t\t\t\n<figure>\n\n<img alt="Carlo Cadenas 绘制的网络安全插画。" data-caption="这个 PHP 问题听起来相当严重。 | 插画：Carlo Cadenas / The Verge" data-portal-copyright="插画：Carlo Cadenas / The Verge" data-has-syndication-rights="1" src="https://platform.theverge.com/wp-content/uploads/sites/2/2025/04/VRG_ILLO_STK001_carlo_cadenas_cybersecurity_virus.jpg?quality=90&#038;strip=all&#038;crop=0,0,100,100" />\n\t<figcaption>\n\t这个 PHP 问题听起来相当严重。 | 插画：Carlo Cadenas / The Verge\t</figcaption>\n</figure>\n<p class="wp-block-paragraph">广泛用于构建网站和 Web 应用的 PHP 编程语言预计将于今天推出安全补丁，旨在修复两个关键漏洞。如果不加以处理，这些漏洞可能会给互联网造成严重破坏。在<a href="https://www.php.net/archive/2026.php#2026-10-20-1">周二发布的安全公告</a>中，PHP 开发者表示，这些漏洞的严重性评分为 9.2 分，满分为 10 分。一些网络安全机构敦促无法立即应用补丁的网站暂时将其系统下线。</p>\n<p class="wp-block-paragraph">该安全补丁预计将于美国东部时间今天上午 10 点发布，不过开发者表示，如果漏洞详 …</p>\n<p><a href="https://www.theverge.com/tech/1015257/php-vulnerability-patch-website-security-wordpress">前往 The Verge 阅读完整报道。</a></p>\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t
查看原文
查看缓存全文

缓存时间: 2026/10/21 12:19

# 一个严重的 PHP 漏洞可能导致网站今天下线 来源：https://www.theverge.com/tech/1015257/php-vulnerability-patch-website-security-wordpress Jess Weatherbed (https://www.theverge.com/authors/jess-weatherbed) Jess Weatherbed 是一名专注于创意产业、计算机技术和互联网文化的新闻撰稿人。Jess 的职业生涯始于 TechRadar，负责新闻报道和硬件评测。 广泛用于构建网站和 Web 应用的 PHP 编程语言预计将于今天推出安全补丁，旨在修复两个严重漏洞。如果放任不管，这些漏洞可能在互联网上造成严重破坏。在周二发布的一份公告 (https://www.php.net/archive/2026.php#2026-10-20-1) 中，PHP 开发者表示，这些漏洞的严重性评分为 9.2 分，满分为 10 分。一些网络安全机构建议，无法立即应用修复补丁的网站暂时关闭其系统。 安全补丁预计将于今天美国东部时间上午 10 点发布，不过开发者表示，如果漏洞详情公开，或有证据表明这些漏洞正被利用，他们可能会提前发布。PHP 用户被敦促“在新版本发布后尽快升级”。据网络安全公司 watchTowr (https://watchtowr.com/intelligence/php-cve-2026-109618-faq/) 称，这些漏洞可被用于远程代码执行，据报道影响 PHP 5 及之后的所有 PHP 版本，可能让攻击者在受影响的服务器上运行自己的代码，从而恶意篡改网站、窃取数据等。 这些漏洞的影响可能极为广泛，一名安全研究人员 (https://bsky.app/profile/silascutler.bsky.social/post/3mydwzp3dcc2z) 估计，可能有超过 130 万台联网主机受到影响。WordPress 安全插件提供商 Wordfence (https://www.wordfence.com/blog/2026/10/psa-upcoming-critical-php-security-release/) 也警告称，每个 WordPress 网站都将存在风险，因为它们都运行在使用 PHP 的服务器上。考虑到 WordPress 去年曾表示，互联网上超过 40% 的网站 (https://wordpress.com/blog/2025/04/17/wordpress-market-share/) 由其驱动，这个数量可不小。Wordfence 还警告称，该修复补丁无法通过自动更新安装，因此网站所有者需要查明由谁负责更新 PHP，以便手动应用补丁。 欧盟计算机应急响应小组 (https://cert.europa.eu/publications/security-advisories/2026-018) 和英国国家网络安全中心 (https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php) 均已发布公告，建议无法立即为其平台安装补丁的公司，将面向互联网的应用与公共网络隔离，或将其完全下线，直到漏洞风险得到充分缓解。移动操作系统开发商 GrapheneOS (https://bsky.app/profile/grapheneos.org/post/3myepsdnhpc2u) 表示，他们已暂时关闭用户讨论论坛，因为已经有人在开发概念验证漏洞利用程序，而他们“不想冒这个险”。据 PHP 开发者 Gina Peter Banyard 称，安装补丁是唯一的缓解措施，否则关闭服务器“可能是最明智的做法”。 多家 (https://www.wordfence.com/blog/2026/10/psa-upcoming-critical-php-security-release/) 网络安全机构 (https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities) 也已敦促 PHP 管理员做好准备，Sansec 的威胁研究人员 (https://sansec.io/research/php2shell) 表示，他们预计会在“补丁发布后 15 分钟内看到大规模攻击”。不过，这并不意味着攻击者还在等待。Cloudflare 首席技术官 Dane Knecht (https://x.com/dok2001/status/2112811965735202970) 表示，针对该平台上 PHP 网站的攻击“已经开始出现”，Cloudflare 正在临时更新防火墙规则，作为修复补丁发布前的应急措施。 **关注本文中的话题和作者**，以便在个性化主页信息流中查看更多类似内容，并接收电子邮件更新。 - Jess Weatherbed

相似文章

# 广泛存在的 PHP 漏洞可能导致今日众多网站瘫痪

Krebs on Security

两个影响 PHP 5.4 及更高版本的关键 PHP 零日漏洞（CVE-2026-109618 和 CVE-2026-109619）正在被野外利用，促使 PHP 紧急发布安全更新，大量网站因此出现中断；该漏洞的研究与披露由 OpenAI 和 Wiz 参与完成。

PHP发布关键网络安全更新，全球多家网站下线

Reddit r/singularity

两个被称为 AI 迄今发现的最严重漏洞的 PHP 关键漏洞，促使世界各国政府和机构在等待修复期间将网站下线。这些漏洞由 Calif 和 Wiz 的研究人员使用 OpenAI 模型发现，十多年来一直未被察觉，据报道影响了互联网上约 70% 的网站。