AI一小时挖穿十年老雷？PHP惊天漏洞吓醒全球网站运维
内容提要
PHP解释器内核爆出两个CVSS 9.2的远程代码执行漏洞，影响全球约七成网站。漏洞细节在补丁发布前泄露，多国政府网站预防性关闭。官方已发布修复版本8.5.12、8.4.27、8.3.36和8.2.35，须立即升级并重启服务；旧版本无官方补丁，WAF仅能作为临时防线。AI加速漏洞利用，攻防窗口几乎消失，长尾风险显著。
延伸解读
漏洞位于解释器内核，影响面覆盖所有PHP部署形态
此次两个漏洞均位于PHP解释器内核，而非某个扩展或框架层，因此无论网站使用WordPress、Laravel还是其他框架，只要底层PHP运行时未修复，风险就存在。受影响部署形态包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。这意味着运维者不能仅检查应用层，而需确认所有处理Web请求的PHP实例是否已升级。
补丁前细节已泄露，防守方几乎没有缓冲期
漏洞细节与利用工具在官方补丁发布前就已公开，迫使PHP团队将补丁发布时间提前一天。有安全公司判断，补丁发布后约15分钟大规模攻击就可能开始，watchTowr和Cloudflare已观察到利用尝试与攻击流量。传统“补丁发布后再分析”的防守节奏被压缩，防守方需在补丁上线同时完成升级与重启，而非等待观察。
旧版本无官方补丁，长尾风险集中在被遗忘的PHP实例
PHP 8.1及更早版本已停止官方支持，不会获得正式更新，但互联网扫描数据显示PHP 7.4仍是可识别版本中占比最高的单一分支。这些系统常嵌入遗留应用、共享主机或被遗忘的虚拟机，运维者甚至不知道其存在。PHP团队仅为7.4、8.0、8.1提供源码级向后移植补丁，需自行编译或联系发行版厂商，大量嵌入式场景可能永远无法打补丁。
WAF与临时配置只是减速带，升级并重启才是安全边界
PHP基金会明确指出，设置session.upload_progress.enabled=0等临时缓解措施“并不能使安装变得安全”，WAF规则同理只能作为补丁上线前的后备防线。攻击者已在调整载荷以绕过WAF规则。此外，升级或打补丁后必须重启Apache、PHP-FPM及所有长期运行的PHP工作进程，否则残留旧进程仍可能处于易受攻击状态。使用mod_php的Apache配置风险最高，应优先处置。
Q&A
PHP最近爆出的两个高危漏洞是什么？评分有多高？
两个漏洞编号为CVE-2026-109618和CVE-2026-109619，均为CVSS 4.0评分9.2的严重远程代码执行漏洞，位于PHP解释器内核，未经认证即可利用。
这两个PHP漏洞影响范围有多大？
全球约70%的网站使用PHP，因此受影响。所有处理Web请求的PHP部署形态均受影响，包括PHP-FPM、mod_php、php-cgi等，主流CMS如WordPress、Drupal、Joomla等也受影响。
漏洞是如何被发现的？和AI有什么关系？
2024年PHP开发者已注意到内存问题但未找到利用路径。2026年8月，研究员Ryan Austin借助OpenAI的GPT-5.6 Sol模型将内存缺陷转化为RCE链；安全公司Wiz使用AI代理独立发现第一个漏洞。AI加速了漏洞利用。
修复这些漏洞应该升级到哪些PHP版本？
应升级至PHP 8.5.12、8.4.27、8.3.36或8.2.35。升级后必须重启Apache、PHP-FPM及所有长期运行的PHP工作进程。
旧版PHP（如8.1及更早）还能获得官方补丁吗？
PHP 8.1及更早版本已停止官方支持，不会获得正式更新。PHP团队为7.4、8.0、8.1提供了最小化源码向后移植补丁，需自行编译；使用Linux发行版打包版本的用户应联系厂商获取移植补丁。
WAF或临时配置能替代升级吗？
不能。WAF规则和临时缓解措施（如设置session.upload_progress.enabled=0）只能减少特定攻击路径的暴露面，PHP基金会明确指出这些措施并不能使安装变得安全，仅作为补丁上线前的后备防线。
为什么说这次漏洞的攻防窗口几乎消失了？
漏洞细节和利用工具在补丁发布前已泄露，补丁发布后约15分钟就可能开始大规模攻击。AI可将补丁转化为利用代码耗时不到一小时，防守方与攻击者几乎同时起跑，传统防守节奏失效。
漏洞披露过程有什么异常？
官方原计划10月22日协调披露，但10月20日匿名消息在Hacker News等平台流传，附带CVE编号和演示视频。PHP团队被迫将补丁发布时间提前至10月21日14:00 UTC。
