PHP紧急警报：59%未支持站点才是真正危险

泄露压过保密协议的安全事件

10 月 20 日，Hacker News 上一篇文章声称，两个被评为 CVSS 10.0 的 PHP 远程代码执行漏洞将于次周四披露。作者除了"来源：信我，bro"之外，未提供任何证据。当天傍晚，PHP 官方发布了自身公告，将发布日期提前了一天，并将官方评分从 CVSS v4.0 的 10.0 下调至 9.2。watchTowr 确认泄露信息属实，保密协议已被打破。

这一模式熟悉而令人沮丧。安全研究人员发现关键漏洞，厂商准备协调披露，有人将其泄露，时间被迫加速。眼下重要的是不是这场戏剧，而是泄露所暴露的局势：两个未修补的 PHP RCE 漏洞，CVSS 评分高于 9.0，尚无已知规避方案，且已有活跃利用尚未公开——但恐怕不会太久。

谁得到修复，谁被抛下

PHP 将为四个受支持分支——8.2、8.3、8.4 和 8.5——发布一次出周期的安全更新。补丁将在此发放。其余版本只能靠自己。

8.1、8.0、7.x 和 5.x 版本已终止支持，PHP 不会为其提供修复。如果漏洞蔓延至这些分支——watchTowr 的 FAQ 指出范围尚未获得官方确认——在这些版本上运行的部署将无限期保持暴露。

这不是假设性的漏洞。安全公司 Mallory 统计，截至 10 月 20 日，约有 88.4 万台面向互联网的服务器在 Shodan 上的 HTTP 横幅中报告了 PHP 8.1 或更低版本，约占报告了任意 PHP 版本的约 150 万台主机的 59%。另有 74 万台主机报告了 PHP 但版本号缺失。这些是横幅信息而非确认受影响的系统，但画面已经清晰：多数可见的 PHP 部署运行在永远不会获得厂商补丁的分支上。

WordPress 生态是最明显的暴露面。数百万个 WordPress 网站以 PHP 作为后端，其中相当比例尚未升级到受支持的 PHP 版本。对于这些运营方而言，这份紧急通告不是补丁呼叫，而是一道选择题：隔离、迁移，还是接受风险。

为何此事超出 PHP 生态

PHP 在安全圈常被视为遗留技术。正是这一假设让本次警报格外危险。关键基础设施、政府门户和小企业应用仍在旧版 PHP 上运行，因为迁移成本高昂、文档稀少，且除非出问题，否则升级动力不足。

本次涉及的 CVE——CVE-2026-109618 与 CVE-2026-109619，即泄露帖子中已出现的标识符——并非随意编号。一个 CVSS 9.2 的 RCE 漏洞，作用于支撑了互联网大比例应用的编程语言，影响层级很高。PHP 目前尚未公布技术细节，这既是保护也是负担：它拖慢了攻击者的节奏，但也让防御方在准备期间处于盲飞状态。

利用时间窗口才是真正的风险

截至 10 月 20 日，Huntress 在其合作环境中未报告对此类漏洞的利用。watchTowr 的 FAQ 截至 10 月 21 日同样显示暂无利用报告。这些漏洞尚未进入 CISA 的《已知被利用漏洞》目录。

但历史提醒我们切勿自满。2024 年 6 月，CVE-2024-4577——一种涉及 Windows 上 PHP CGI 模式的漏洞——公开后，Akamai 在 24 小时内即在蜜罐服务器上观察到利用尝试。没有理由相信 CVSS 9.2 的 PHP RCE 漏洞会遭到威胁行为体的宽容对待。

公开披露到大规模利用之间的窗口，正是那些未曾准备的组织被击垮的时刻。复杂环境的补丁部署缓慢，依赖核查耗时，回滚存在风险。每延误一小时，攻击者能力与防御方准备度之间的差距就扩大一小时。

当下防御应如何落地

PHP 尚未公布规避方案。在补丁发布之前，指导方针是运营性的而非技术性的。Huntress 与 CERT-EU 已趋于一致，提出一套实用措施。

第一，清点所有 PHP 部署。这包括厂商设备中捆绑的 PHP、Windows 软件中的 PHP，以及 cPanel 和 Plesk 等控制面板。许多组织并不知道自己在使用 PHP。专有应用内的闪存更新或硬件设备中嵌入的解释器很容易被忽略，也更难修补。

第二，准备在补丁发布时立即升级。优先处理面向互联网的系统。检查 Linux 发行版和托管提供商的仓库，看是否有反向移植包——它们可能比官方 PHP 发布更早到位。

第三，对已终止支持的分支，选择是升级、隔离还是限制。CERT-EU 建议将面向互联网的应用与公共网络隔离，直到修复可用。VPN 或 Web 应用防火墙可以争取时间。两者均非永久方案，但都能在运营方规划迁移时缩小攻击面。

第四，监控 PHP 进程行为。在没有终端检测的 Linux 服务器上，Florian Roth 的进程监控工具会记录 PHP 进程启动的每一个程序及其命令行参数。它不会阻止执行，但会记录执行痕迹。需要关注的信号是 php-fpm、php-cgi、httpd 或 apache2 启动 shell、解释器或下载工具。

第五，一旦发现异常，立即隔离服务器。保留 Web 服务器和 PHP 日志。排查 Web shell、网站根目录新增文件、新增 cron 任务、计划任务以及异常账号。RCE 滥用会留下痕迹。响应速度决定了这些痕迹是用来支持围堵，还是沦为失守的证据。

发布后将澄清什么

即将到来的 PHP 发布应能回答公告未提及的问题：哪些版本受影响、PHP 的哪个组件涉及其中、漏洞是否需要特定执行模式、配置或登录态，以及 PHP 官方如何描述这些漏洞。

在此之前，这份通告是方向性的而非具体明确的。这对保密研究而言是标准做法，同时也是不作为的代价变得清晰可见的时刻。处于受支持分支的组织可以为补丁做好准备；处于终止支持分支的组织必须为隔离、迁移或风险接受做好准备。59% 这个数字不是统计数据，而是一个倒计时。

紧急通告是真实的。发布将为受支持版本填补技术漏洞。而结构性漏洞——那些永远不会被修补的部署——在新闻稿淡去后依然在那里。这才是更长远的问题，也是本次警报应当迫使各组织直面的一环。