支撐全球七成網站的PHP突曝致命漏洞 多國緊急拔線

作者：朱宇，金十數據

一場起源於底層編程語言的突發安全風暴，正迅速席捲全球網路。

作為支撐WordPress、Drupal等平台、覆蓋全球近七成網站的核心語言，PHP官方近日緊急確認了兩個評分高達9.2的底層內存嚴重漏洞（代號「PHP2Shell」）。該事件隨即演變為波及政務與商業系統的全球性斷網危機。

為規避正在擴散的攻擊風險，歐洲多國政府與機構採取了罕見的「預防性停機」。荷蘭鹿特丹港、政府綜合門戶Overheid.nl、多家醫院及政黨網站相繼下線；比利時外交部在獲悉潛在攻擊報導後宣布關停外網服務；德國數字事務部亦證實，其聯邦政府中央IT服務商已暫停部分站點運行。

停機範圍還在繼續擴大。芬蘭政府宣布，作為預防措施，將面向公眾的網路服務暫時下線；荷蘭眾議院和國家網路安全中心網站也一度無法訪問。

當地媒體報導稱，由於多個地方政府共同使用軟體供應商Notubiz的服務，超過100個市政府、省級機構及水務機構受到影響。德國和奧地利部分高校也採取類似措施，包括維也納大學和弗賴堡大學。

開源系統Drupal臨時首席執行官更是直言，此次風險波及絕大多數網站，Drupal在部署更新期間將關閉所有直屬站點。

直擊核心架構：未經驗證即可遠程接管系統

據安全機構分析，本次暴露的CVE-2026-109618與CVE-2026-109619兩項漏洞破壞力極強，攻擊者無需通過任何身份認證，僅憑構造異常的HTTP請求引發內存錯誤，即可在應用代碼執行前奪取服務器控制權。這意味著，即便上層業務邏輯毫無瑕疵，底層環境同樣可能直接暴露在攻擊之下。

PHP基金會安全工程師福爾克·杜施（Volker Dusch）坦言，這是該項目十餘年來面臨的最嚴峻安全考驗。監測顯示，受波及版本跨度甚至可追溯至早期的PHP 5.4系列。

派拓網路(PANW.O)旗下安全團隊Unit 42已監測到實際利用跡象，並發現全球有超過2260萬個暴露節點面臨潛在威脅。Cloudflare方面也表示，已經觀察到針對相關漏洞的「早期攻擊」，並為通過其基礎設施進行防護的客戶部署了相應保護措施。

PHP官方隨後確認，修復兩個嚴重漏洞的新版本已經上線，並「強烈建議」用戶立即升級。此前，歐洲計算機應急響應小組CERT-EU、英國國家網路安全中心以及澳洲網路安全中心均要求機構優先清點內部PHP資產，無法及時完成修復的系統應考慮暫時下線。

AI加劇攻防烈度，全球監管與科技巨頭密集預警

更令業內擔憂的是，生成式AI的普及顯著縮短了漏洞轉化為攻擊代碼的時間窗口。OpenAI方面表示，其前沿模型雖然先於攻擊者發現了這些弱點，但鑒於受影響面之廣，這無疑是近年來危害最深的安全事件之一。

首先捕獲該問題的Calif安全公司首席執行官泰·杜昂（Thai Duong）發出預警：「一旦有人藉助AI逆向分析補丁並公開利用腳本，局面將迅速陷入失控。」

此次漏洞正是藉助AI發現。Calif研究人員今年8月在審計PHP源代碼時，利用OpenAI的GPT-5.6 Sol識別出相關問題。研究人員隨後與PHP維護團隊以及其他安全機構展開秘密修復。谷歌Wiz安全團隊此後又獨立發現了與此次漏洞相關的其他攻擊路徑。

整個修復工程的規模遠超普通安全更新。據參與者披露，補丁涉及接近200個文件，開發人員累計編寫和修改超過1萬行代碼。原定補丁發布日期為10月22日，但相關消息提前在Hacker News泄露後，PHP團隊決定加快發布節奏。

目前，多國高層與科技巨頭已進入最高戒備狀態。美國白宮表示正密切跟進並協同實驗室加快補丁推廣；美國國家安全局（NSA）與網路安全和基礎設施安全局（CISA）均敦促機構立即排查升級。日本首相高市早苗則呼籲企業從速應用修復程序，並強調「若修復困難，臨時停用網站是降低風險的有效手段」。

商業巨頭同樣全面響應，谷歌母公司Alphabet(GOOGL.O)緊急面向雲客戶推送了新版容器鏡像，力促用戶升級至PHP 8.2及以上分支。安全團隊一致強調，當前任何單一的WAF攔截或配置微調都無法徹底阻斷攻擊，完成內核級升級並重啟服務，是阻擊這場危機的唯一可靠防線。

補丁正式發布並不意味著風險立即消失。安全更新公開後，攻擊者可以直接比較修復前後的代碼差異，迅速定位漏洞所在，再藉助AI自動生成或優化利用程序。

對網站營運方而言，補丁發布的一刻同時也是新一輪攻防競賽的起點：防守方需要完成測試、部署和重啟，而攻擊者則爭取在大規模升級完成之前找到仍未修復的服務器。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。