關鍵PHP漏洞在緊急補丁前迫使政府網站脫機

根據《The Hacker News》和安全公司Sansec的報道，PHP開發團隊計劃在2026年10月21日UTC時間14:00進行非常規安全發布，以修復在前一天詳情在線泄露後的兩個關鍵漏洞。這些漏洞被追蹤為CVE-2026-109618和CVE-2026-109619，被研究人員非正式地暱稱為「PHP2Shell」，但PHP自身團隊沒有採用這個名稱，《The Hacker News》報道稱。

漏洞是什麼

根據Sansec的技術文章，CVE-2026-109618是PHP上傳進度處理中的一個釋放後使用漏洞，可以通過PHPSESSID cookie洩露服務器內存——包括密碼、會話令牌和TLS私鑰——其方式該公司與2014年Heartbleed漏洞相比較。CVE-2026-109619是一個單獨的釋放後使用漏洞，在內存耗盡期間發生致命錯誤時觸發，與PHP的OPcache中的類型混淆相結合，Sansec表示這將啟用遠程代碼執行。兩個漏洞都通過multipart/form-data請求達到，這是網頁用於文件上傳的格式。

英國國家網絡安全中心(NCSC)在其10月21日公告中將風險描述為允許攻擊者「在任何運行PHP的網絡服務器上執行命令」而無需登錄，並將該問題評為關鍵。

為什麼政府和平台脫機

由於PHP支撐著網絡的很大一部分，幾個組織選擇關閉面向公眾的網站，而不是等待補丁。Techzine報道荷蘭政府服務包括MijnOverheid、DigiD和議會系統被暫時關閉，KSL發表的新聞電訊報道稱荷蘭和芬蘭的網絡安全機構作為預防措施關閉了政府網站。Techzine還報道英國的NCSC和美國網絡安全和基礎設施安全局(CISA)發布警報，敦促管理員修補或禁用受影響的系統，而Wikipedia和Meta通過應用修改的PHP運行時和網絡應用防火牆規則而不是脫機來保持運行。

Sansec報道PHP核心開發人員Gina Peter Banyard將在補丁到達前關閉服務器描述為無法立即應用修復的組織的最合理選擇——幾個荷蘭機構遵循了這一建議。

Cloudflare表示在官方補丁發布前開始看到利用嘗試。根據KSL報道，Cloudflare的首席技術官表示該公司正在觀察早期攻擊，並在新的攻擊方法出現時不斷更新其緩解措施，將Cloudflare的保護描述為臨時應急措施，直到PHP的官方修復到達。Sansec單獨報道Cloudflare檢測到攻擊從2026年10月21日UTC時間07:43開始，大約在PHP計劃修復前六小時。

• WordPress、Drupal、Joomla和Magento，基於PHP構建的內容管理和電子商務系統
• Sansec命名為已確認易受攻擊的特定版本：Magento 2.4.9、WordPress 7.1.2、Drupal 11.4.3、Joomla 6.1.4、MediaWiki 1.46.2、Roundcube 1.7.4、phpMyAdmin 5.2.3、Nextcloud 35.0.1、Laravel 13.11和Symfony 8.1
• 根據NCSC公告，捆綁PHP的共享託管平台和控制面板
• 荷蘭政府服務DigiD和MijnOverheid，根據Techzine

暴露規模：估計不同

已知和未知的內容

PHP團隊確認PHP 8.2、8.3、8.4和8.5將收到官方修復——根據The Hacker News的說法，預計為8.5.12、8.4.27、8.3.36和8.2.35版本——而壽命終止的8.1及更早版本將不會被供應商修補。然而，Sansec表示潛在的有缺陷的代碼可追溯到PHP 5.4.0，這意味著許多較舊的不受支持的安裝可能仍然容易受到攻擊，沒有官方修復可用。根據The Hacker News的說法，截至其10月21日報道時，沒有公開的概念驗證利用可用，該漏洞尚未被添加到CISA的已知被利用漏洞目錄中——儘管Cloudflare之後的聲明表明攻擊嘗試已經在進行中。

背景：漏洞如何被發現

Sansec的時間軸將第一個漏洞追蹤到2026年8月1日開始的研究，由使用句柄「Calif」與OpenAI合作的研究人員進行，他在8月11日向PHP安全團隊報告了該漏洞。第二份相關報告來自Wiz Research團隊——Sansec命名為Sagi Tzadik、Shir Tamari、Nir Ohfeld和Tomer Schwartz——於8月24日。Sansec表示兩個研究團隊都將AI模型加快在PHP版本間尋找和改編利用的工作，據報告一名研究人員在大約一周內達到了實際的利用。協調的保密披露詳情在10月20日被公開洩露，促使PHP提前宣布並將10月21日定為補丁發布日期。