如果你今天上网过，你就会看到恐慌：一个严重的漏洞正威胁着“破解”地球上几乎所有网站。

芬兰周三刚刚开始关闭政府网站，美国国家安全局建议所有使用 PHP 的组织关闭其网站，荷兰和法国也采取了同样的做法。不，这不是网络战。

罪魁祸首是 PHP，一种大多数人从未听说过的编程语言。不过，您今天几乎肯定已经使用过它：据 W3Techs 称，大约 70% 的服务器端语言已知的网站都由它运行。

PHP 是在网站服务器（存储网站并构建您要求的每个页面的计算机）上运行的软件。例如，根据 WordPress 安全公司 Wordfence 的说法，每个 WordPress 网站都位于 PHP 服务器上。

哦，对了，Wordfence 也宕机了。

PHP 本身中新发现的两个错误使陌生人无需登录即可在该服务器上运行自己的命令。安全人员将这种情况称为未经身份验证的远程代码执行。其他人都可以称之为“现在有人在开车”。

如果该服务器存储了您的帐户、地址或订单历史记录，那么这些也是他们的。网络主机 GoDaddy 警告称，这些缺陷可能会让攻击者窃取数据、破坏网站或完全接管服务器。

Godaddy 表示：“像这样的缺陷可能会让攻击者通过互联网在受影响的服务器上运行自己的代码，从而导致数据被盗、网站被破坏或完全被接管。”

PHP 宣布了什么

资助该语言开发的非营利组织 PHP 基金会于周二发出了警报。在 X 上分享的一份声明中，它表示：“PHP 安全团队正在发出提前通知：即将于 2026 年 10 月 21 日星期三 14:00 UTC 发布安全版本，其中有两个严重漏洞，均评级为 CVSSv4 9.2。鼓励 PHP 用户准备更新。如果详细信息成为公开或活跃的利用证据，请提前发布。”

PHP 安全团队提前通知：即将于 2026 年 10 月 21 日星期三 14:00 UTC 发布安全版本，有两个严重漏洞，评级均为 CVSSv4 9.2。

我们鼓励 PHP 用户做好更新准备。如果细节公开或主动利用证据，请尽早发布。

— PHP 基金会 (@ThePHPF) 2026 年 10 月 20 日

9.2 来自 CVSS（通用漏洞评分系统），该系统根据通过互联网访问该漏洞的难易程度以及该漏洞可能造成的损害程度等因素对漏洞的危险程度进行评级。它的评分范围是 0 到 10，9.0 以上的任何内容都被标记为“关键”——因此，这两个评分在没有达到完美 10 的情况下几乎是最糟糕的。

该修复于周三 UTC 时间大约 13:35 发布，比 PHP 版本提前了几分钟，版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。安全公告毫不含糊：“强烈鼓励所有 PHP 用户立即更新。”

但发布修复程序和让每个人实施解决方案并不是一回事，因此建议谨慎。

错误如何运作

第一个错误 CVE-2026-109618 是在 PHP 在处理请求的过程中内存不足时出现的，然后将半构建的数据视为已完成的数据。第二个，CVE-2026-109619，让一个访问者请求的剩余内容在应该被丢弃的情况下留在内存中，下一个请求可能会被它们绊倒。

想象一下一个厨师，他不断地阅读已经扔进垃圾桶的票中的订单。将一张假票塞进垃圾桶，厨师就会按照你在上面写的任何内容制作。在这种情况下，“命令”是攻击者的代码，服务器运行它。

PHP 表示，使用名为 mod_php 的常见 Apache 设置的服务器上的风险最高，其中演示的漏洞利用“在任何应用程序代码运行之前”起作用。换句话说，网站自身的防御措施，例如登录屏幕和 WordPress 安全插件，甚至永远不会被唤醒。

PHP 基金会研究人员指出，PHP 的上传进度功能是已确认的上传方式之一，该功能可跟踪您发送的文件量。十多年来，该功能已默认开启，但很少有网站真正使用它。

泄漏，然后攻击

这一切都不应该公开。周二，有人在 Hacker News 论坛上发帖称，周四将披露两个 PHP 缺陷，同时承认“除了‘来源：相信我，兄弟’之外没有任何证据”。

事实证明兄弟是对的。安全公司 watchTowr 证实这些错误是真实存在的，并且处于禁运状态（一项在修复准备就绪之前对细节保密的协议），并且 PHP 将其发布时间提前了一天。

Cloudflare 首席技术官 Dane Knecht 在周三凌晨（即补丁发布前近 6 小时）在 X 上写道：“我们看到早期攻击不断出现，并随着新载体的出现而更新缓解措施。” Cloudflare 向每位客户推出了紧急防火墙规则、阻止已知攻击模式的过滤器，但 Knecht 称它们“只是权宜之计”。

Cloudflare 背后的 PHP 站点已经针对这些漏洞中的已知利用向量部署了一组初始 WAF 规则。这些规则可供所有客户使用，包括免费的。

我们看到早期攻击正在出现，并且随着新向量的显示，我们正在更新缓解措施...... https://t.co/wMz9tDTWwH

— 戴恩·克内希特 (Dane Knecht) 🦭 (@dok2001) 2026 年 10 月 21 日

政府按下了关闭开关

据公共广播公司 Yle 报道，芬兰国家 IT 中心 Valtori 开始下线公共网络服务作为预防措施，而荷兰国家网络安全机构也关闭了自己的网站。

法国内政部表示，其辖区网站“暂时下线，等待该框架发布者发布安全补丁”。

欧盟网络应急小组 CERT-EU 告诉无法修补的组织“考虑将面向互联网的应用程序与公共网络隔离，直到找到修复程序为止”。这是官僚用语，意思是“拔掉插头”。据路透社报道，澳大利亚、日本和英国的机构也表达了大致相同的观点。

病毒式传播的帖子出了什么问题

X 上的病毒线程声称“可追溯到 2004 年”的 PHP 版本容易受到攻击。这可以追溯到 PHP 5 以来的所有内容都受到影响的早期估计，CERT-EU 承认这一估计是基于社交媒体帖子。

电子商务安全公司 Sansec 将范围定为 PHP 5.4 及更高版本。所以是 2012 年，而不是 2004 年——仍然很老了。

PHP 仅发布 8.2 及更高版本的官方版本，这使得“旧版本无法修复”的说法只对了一半。鉴于这个问题有多糟糕，其安全团队还发布了 7.4、8.0 和 8.1 的基本源代码补丁，并且 Linux 发行版正在向后移植自己的修复程序。

安全公司 Mallory 统计，截至 10 月 20 日，约有 884,000 个面向互联网的主机在宣传 PHP 8.1 或更低版本，占公开展示版本的约 150 万个主机的 59%。一台共享主机服务器可以承载多个网站，因此其背后的网站数量较多。

一些线程还集中在 Node.js 中，这是一种不同的 Web 技术，恰好在同一天安排了自己的、不相关的安全更新。时机不好。

即使打了补丁的版本也无法同时到达所有服务器。 PHP 基金会在其声明中表示：“如果您依赖志愿者维护的 https://rpms.remirepo.net，我们强烈建议您立即转向发行版软件包或从源代码构建，这样您就可以立即应用更新。该存储库今天不会有更新。”这里指的是一个流行的志愿者运行的红帽式 Linux 服务器 PHP 软件包源。

你真的应该关心吗？

你不应该惊慌，但也不应该耸耸肩。例如，被黑的网站不需要接触区块链就能清空你的钱包。 2024年，攻击者将DeFi协议Compound和Celer的前端重定向到耗尽连接钱包的页面，Curve Finance在2025年遭受了类似的攻击。

我预先断开了我的所有网站/VPS 服务器与网络的连接

我会等待补丁在 UTC 下午 2 点发布

如果您有一个 PHP 网站，最好将其删除，直到您修补 PHP

69.3% 的网络运行在 PHP 上，所以这将会很激烈！

也许是购买的好时机…… https://t.co/xTXvLwuzrH

— @levelsio (@levelsio) 2026 年 10 月 21 日

这些是 DNS 劫持，而不是 PHP 错误，但技巧是相同的：网站看起来正确，URL 看起来正确，“批准”按钮将您的令牌发送到其他地方。受感染的服务器可以提供此类页面。

当涉及到零日漏洞时，黑客可以非常有创意、非常快速。

随着前沿人工智能模型越来越多地用于查找软件漏洞，此类漏洞也变得越来越容易被发现，专家在 6 月份告诉 Decrypt，随着这些工具的传播，可能会出现更多漏洞。

接下来会发生什么以及该怎么做

一旦补丁公开，攻击者就可以比较新旧代码，以准确了解修复的内容，网络安全公司 Sansec 的取证团队表示，预计“大规模攻击将在发布后 15 分钟内开始”。当另一个 PHP 缺陷于 2024 年 6 月公开时，Akamai 在 24 小时内就遭遇了针对其诱饵服务器的攻击尝试。

那么普通人应该恐慌吗？不完全是。您的手机、浏览器和笔记本电脑不需要 PHP 补丁；这项工作就落在了运行您所使用的网站的人身上。

如果您运行一个网站，请询问您的托管提供商 PHP 是否已更新，并且不要指望 WordPress 为您做这件事：Wordfence 警告说，自动更新不会应用此修复程序，并告诉网站所有者找出谁负责在其服务器上更新 PHP。任何使用 8.1 或更早版本的人都需要计划升级。

“我唯一能说的是，唯一的缓解措施是修补/升级 PHP，”PHP 核心开发人员 Gina Peter Banyard 在 Mastodon 上说道。 “可悲的是我知道得太多了。”

如果您使用的是 PHP 8.2，那么您刚刚获得的修复是最后的修复之一：该版本将于 2026 年 12 月 31 日终止生命周期，之后不再获得安全补丁。