灾难性的PHP漏洞在补丁发布前数日即遭利用
内容提要
PHP基金会披露两个严重漏洞（CVE-2026-109618、CVE-2026-109619），可导致远程代码执行，影响大量网站。亚马逊威胁情报发现，补丁发布前数日已有攻击者利用蜜罐尝试“PHP2Shell”漏洞利用，10月21日补丁发布前数小时又出现多次攻击尝试，漏洞细节提前在论坛和社交媒体泄露。基金会称尚无成功入侵报告，但强调须尽快更新系统，并将改进流程以更快处理复杂漏洞。
延伸解读
补丁滞后与利用窗口
PHP基金会早在2024年就理论发现了该漏洞，但因向后兼容性破坏、新的拒绝服务风险以及需协调大量第三方扩展而延迟修复。亚马逊威胁情报在10月17日通过蜜罐发现攻击尝试，早于10月21日补丁发布数日，说明漏洞在官方修复前已被利用。这凸显复杂漏洞修复的协调难度，也拉长了暴露窗口。
泄露与攻击的时序疑点
文章指出，在基金会准备发布补丁时，漏洞细节已在论坛和社交媒体上泄露，部分安全公司提前发布信息。但亚马逊报告显示，10月17日的蜜罐攻击来自匿名IP，可能早于公开泄露，攻击者如何提前获得利用信息仍不清楚。这表明漏洞情报可能通过非公开渠道扩散，增加了补丁发布前的风险。
实际影响与官方回应
这两个漏洞（CVE-2026-109618、CVE-2026-109619）可导致远程代码执行，影响大量使用PHP的网站，包括WordPress站点。PHP基金会执行董事表示，据其所知尚无成功的远程代码执行尝试，但强调更新受影响系统“势在必行”。基金会还承诺改进流程，让需要复杂修复的严重漏洞能更快得到领导层关注和解决。
Q&A
PHP漏洞CVE-2026-109618和CVE-2026-109619具体有什么危害？
这两个漏洞可导致远程代码执行，攻击者能在受影响设备上执行恶意代码，影响大量使用PHP的网站，包括WordPress站点。
攻击者是在补丁发布前多久开始利用PHP漏洞的？
亚马逊威胁情报发现，攻击者在10月17日通过蜜罐尝试利用PHP2Shell漏洞，而补丁于10月21日发布，即补丁发布前数日已有攻击尝试。
PHP基金会为什么延迟了漏洞修复？
修复延迟是由于向后兼容性破坏、新的拒绝服务潜在风险，以及需要修改许多第三方扩展，这些变更难以协调。
漏洞细节是如何提前泄露的？
在PHP基金会准备发布修复时，漏洞细节开始在论坛和社交媒体上泄露，一些安全公司在官方发布前就公布了相关信息。
目前是否有成功利用PHP漏洞进行远程代码执行的报告？
PHP基金会表示，据其所知，尚无成功的远程代码执行尝试，但强调更新受影响系统至关重要。
PHP基金会将如何改进未来漏洞的处理流程？
基金会正在改变流程，使涉及复杂权衡的严重漏洞能更早到达领导层，以帮助及时解决，并优先确保未来类似复杂漏洞能更快修复。
