什么是PHP？

PHP 是一种开源脚本语言，已有 30 多年的历史，并被广泛应用于互联网。内容管理系统和发布模板系统，例如 WordPress，都是基于 PHP 构建的。

据估计，约有70%的网站使用PHP，这意味着数百万个网站可能受到这些漏洞的影响。维基百科和Facebook也位列其中。

据报道，Drupal 被全球许多政府机构用作网站平台，它也是受 PHP 漏洞影响的服务之一。例如，在澳大利亚，有 391 个政府网站使用名为 GovCMS 的基于 Drupal 的平台。

具体漏洞是什么？

据维护 PHP 代码的非营利组织PHP 基金会称，这些问题“存在于几乎每个请求都会涉及到的 PHP 部分：内存管理和错误处理”。

安全厂商 Hadrian将这两个漏洞称为 PHP2Shell 漏洞利用。

据美国国家安全局称，这些漏洞通过请求破坏网站服务器内存，然后可以利用该请求发起攻击，并可能“提供通往服务器文件系统或数据库的直接路径”。

PHP 小组发布了针对这两个严重漏洞的紧急更新。

PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了 CVE-2026-109618 和 CVE-2026-109619 漏洞，这两个漏洞可能允许未经身份验证的远程代码执行。项目开发者敦促用户立即更新。

开发者表示，所有处理 Web 请求的 PHP 安装都可能受到影响，包括使用 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 的部署。 mod_php 的风险最高。

CERT-EU在补丁发布前发布的一份公告中表示： “如果无法立即进行修补，组织机构应考虑将面向互联网的应用程序与公共网络隔离，直到修复程序可用为止。”该机构将这两个漏洞的CVSS评分列为9.2。

信息安全供应商 Huntress指出： “PHP 为 WordPress、Drupal、Joomla 和 Magento 网站、共享主机平台、控制面板以及大量甚至没有宣传其底层运行 PHP 的软件提供支持。 ”

这使得识别存在漏洞的安装成为一项艰巨的任务。“你需要查找大量地方才能找到易受攻击的 PHP 版本，而且查找速度会非常快，”Huntress 高级首席安全研究员 John Hammond 如此表示。

这个漏洞是如何被发现的？

从历史上看，研究人员和网络安全专家会自行测试系统是否存在漏洞，并在发现问题时进行修补——或者在某个系统受到攻击并发现漏洞时进行修补。

人工智能加速了这一进程，因为人工智能可以应用于各种系统，以识别人类可能没有发现的潜在问题，而且可以在更短的时间内完成这项工作。

PHP 基金会表示，他们与 Anthropic 的前沿模型合作扫描了其代码，并将 PHP 纳入了 OpenAI 的 Patch the Planet 程序中，该程序与研究员 Ryan A 在 8 月中旬同时发现了这个问题。

为了给网站留出修复时间，漏洞披露原本被限制在10月22日之前。但据PHP基金会称，他们发现这两个漏洞已于周二（UTC时间）开始在论坛和社交媒体上传播，因此提前披露了相关信息。

情况到底有多糟糕？

情况可能说很糟糕。正如 PHP 基金会所说，这些问题存在于几乎每个请求都会涉及到的 PHP 代码部分：“它们在 PHP 中的核心位置使得这两个漏洞都非常严重，而且修复起来也十分困难，因为修复后要么会破坏兼容性，要么会损害性能，要么会迫使第三方扩展的庞大生态系统进行更改。”

再加上依赖 PHP 的网站数量庞大，这就成了一个亟待解决的重大问题。

哈德良表示，现在这个漏洞已经暴露出来，并且“正在被大规模利用”。

修复需要多长时间？

补丁程序已经发布，过去一天中一些网站宕机的原因是相关人员正在紧急修复系统漏洞。许多网站很快就恢复了运行。

安全公司建议立即进行修补，如果无法立即进行修补，则应将系统离线。

“关闭服务几个小时的成本远低于服务器被攻破的成本”。

然而，这取决于企业和政府是否意识到需要修补漏洞，并迅速采取行动。

“眼下的挑战不仅仅是安装补丁，而是找到并管理 PHP 运行的每一个实例，”网络安全公司 Sophos 反威胁部门的威胁情报副总裁 Don Smith 表示。

澳大利亚国立大学信息系统教授Simon表示，那些因修复问题而宕机的网站并不是问题所在。

“更令人担忧的是那些今天没有宕机的网站。用户应该对这些网站保持警惕，因为它们很容易成为攻击目标。”

是否有人泄露了漏洞并违反了保密协议？

目前尚不清楚该漏洞是否事先泄露。据 PHP 基金会称，一些安全公司在泄露事件发生后打破了保密禁令，但亚马逊威胁情报在一篇博客文章中表示，他们发现了一起 PHP2Shell 漏洞利用尝试，该尝试的日期比公开披露早了四天。

“虽然该漏洞处于保密状态，但从匿名 IP 地址攻击蜜罐的行为表明，该活动是由威胁行为者实施的，尽管目前尚不清楚该行为者是如何在披露之前获取漏洞利用信息的。”声明中写道。

在禁令即将解除的当天，但在此之前，亚马逊还发现了“多个针对该漏洞的概念验证利用”。这些利用利用漏洞进行攻击的演示并无害处，只是证明漏洞的存在，而没有实际利用该漏洞发起攻击——类似于测试门锁是否存在故障。

人工智能是否使互联网更容易受到这类问题的影响？

借助人工智能，现在发现安全漏洞要容易得多。人工智能代理现在可以识别出人类需要花费数月甚至数年才能发现的问题，而且它们还能发现人们之前没有意识到的问题。

这就是为什么最近手机或电脑上的软件更新数量有所增加的原因。

部分问题在于，除了最前沿的模型之外，人工智能几乎人人都能轻松获取和使用。这导致了一场保护系统安全的人与试图利用人工智能发现的漏洞进行攻击的黑客之间的竞赛。

Simith说：“威胁行为者行动迅速，尤其是在人工智能的帮助下，这很可能成为他们未来几个小时和几天内的优先目标，因此，各组织必须监控 PHP 和 Web 服务器进程，以发现异常进程、命令执行或其他表明攻击者可能已经站稳脚跟的迹象。”

目前，PHP 基金会依靠捐款运作，维护该语言仅依靠 13 名全职和兼职工程师，而人工智能的开发投入却高达数十亿美元。

作者：聆听音乐的鱼