PHP Foundation 已针对两项严重漏洞发布紧急安全更新。这些漏洞可能使攻击者获得对面向 Web 的 PHP 系统的危险远程控制。根据该基金会发布的警报，漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，影响处理 Web 请求的 PHP 安装。
安全专家称情况十分紧急，因为 PHP 深度嵌入互联网基础设施。该语言支撑着大量网站和软件系统，包括 WordPress、Drupal 等发布平台，以及 Adobe 的 Magento 等电子商务软件。广泛部署的 Web 层出现严重弱点后，即使受影响的服务器并不显眼，也可能使组织面临风险。
影响 PHP 历史版本的广泛暴露面
据相关报道，这些漏洞的影响范围可追溯至 2004 年 7 月发布的 PHP 5。如此漫长的时间跨度令管理员尤其担忧：旧版 PHP 安装可能仍在生产环境中运行，也可能通过遗留应用被继承，或存在于长期缺乏维护的基础设施中。
目前只有 PHP 8.2 及更高版本仍受支持，并将获得 PHP 项目发布的补丁。PHP Foundation 指出，一些发行版和第三方供应商仍会继续为旧版本提供修复。这一差异让运行遗留环境的组织承受更大压力。他们不仅需要确认是否存在 PHP，还需要确定部署的版本、供应方，以及是否有可用更新。
PHP Foundation 的指导意见异常直接：更新是唯一安全的选择。该基金会表示，不存在完整的缓解措施。实际上，团队不应将配置更改或边界防御视为替代方案；只要有相应安全更新可用，就应部署更新。
Web 管理员为何迅速采取行动
有关漏洞的报告伴随着攻击者可能迅速行动的警告。Cloudflare 表示，在 PHP Foundation 公布漏洞详情和修复方案之前，就已发现早期攻击出现。安全公司 Sansec 预计，大规模攻击将在漏洞发布后几分钟内开始。
这一时间点十分关键。严重 Web 漏洞公开披露后，攻击可能加速，因为攻击者和防御者几乎会在同一时间获得相同信息。防御者必须识别受影响系统、测试并应用补丁，同时确认服务能够安全恢复。攻击者只需找到尚未更新的暴露安装。
在 PHP 被用于处理传入 Web 请求的环境中，潜在后果尤其严重。据报道，漏洞利用可能让攻击者获得受害系统的远程控制权。一旦取得这样的立足点，事件可能扩展到原始应用之外，具体取决于系统配置以及受攻击进程拥有的权限。
遗留系统是最棘手的特殊情况
PHP 的历史悠久且应用广泛，被遗忘的安装因此成为主要风险。组织可能已经对主要公共网站进行了现代化改造，却在环境的其他位置保留了旧应用、管理工具、支持门户或由供应商管理的组件。这些系统可能仍在处理 Web 请求，也可能不在常规更新周期覆盖范围内。
这个问题并不局限于某一类组织。PHP 广泛用于出版、电子商务和通用 Web 开发，因此受影响的部署可能遍布多个行业。管理员需要回答的关键问题不是主要产品是否使用 PHP 编写，而是任何面向互联网或可从内部访问的服务是否依赖 PHP。
不受支持的版本需要特别关注。一些发行版或供应商提供补丁，并不意味着每个遗留安装都有对应修复。在更新路径不明确的情况下，组织需要确定版本和供应方，而不能假设上游公告的存在就自动解决了自身暴露面。
先打补丁，再进行验证
眼下应对措施是为受支持的 PHP 安装应用可用安全更新，并为较旧部署寻求供应商或发行版提供的修复。由于 PHP Foundation 表示不存在完整的缓解措施，推迟更新就会留下其他补偿性控制措施无法完全消除的残余风险。
组织还应在打补丁后核查资产清单。面向公众的服务、内容管理系统、电子商务技术栈以及不太显眼的 Web 应用都值得检查。目标是找出容易被忽略的系统，而不仅仅是已经纳入集中管理的服务器。
这起事件提醒人们，当基础软件出现严重弱点时，可能产生系统性风险。PHP 的实用性使其长期成为 Web 的重要组成部分，但这种持久性也意味着，旧部署可能比原本用于保护它们的流程存在得更久。随着早期攻击已有报告，且专家预计攻击会进一步扩大，最安全的做法正如 PHP Foundation 所建议的那样：尽快更新受影响的系统。
本文根据 Wired 的报道编写。阅读原文。
Originally published on wired.com