PHP曝出严重安全漏洞 全球网站运营商紧急进入修补状态
广泛应用于网站和网络应用开发的 PHP 编程语言正面临一次紧急安全更新。PHP 开发团队计划于2026年10月21日发布针对两项严重安全漏洞的修复补丁。由于漏洞可能允许攻击者在未经身份验证的情况下远程执行代码，欧洲网络安全机构已建议相关组织尽快完成修复；如果暂时无法更新，部分网站可能需要隔离网络访问，甚至暂时关闭服务，以降低遭到攻击的风险。
根据 PHP 开发团队发布的安全公告，两项漏洞的严重程度评分均为9.2分，采用的是满分10分的 CVSS v4.0 漏洞评分体系。开发团队要求所有 PHP 用户提前做好准备，并在修复版本发布后尽快升级。公告同时表示，如果漏洞细节提前公开，或发现漏洞正在遭到实际利用，补丁也可能提前发布。
PHP 是互联网基础设施中使用极为广泛的服务器端编程语言。许多网站依靠它生成网页、处理用户请求、连接数据库以及执行后台业务逻辑。包括 WordPress、Drupal、Joomla 和 Magento 在内的主流内容管理系统及电商平台，都广泛使用 PHP。因此，这次漏洞的潜在影响并不限于某一款软件或某一类网站，而可能波及大量互联网服务。
其中，WordPress 的影响范围尤其值得关注。WordPress 去年公布的数据显示，该平台支撑着全球超过40%的网站。网络安全公司 Wordfence 指出，WordPress 网站通常运行在安装了 PHP 的服务器上，因此，只要底层 PHP 环境存在未修复的漏洞，相关网站就可能面临风险。
安全研究人员估计，可能受到影响的联网主机数量超过130万台。不过，这一数字属于研究人员的初步估算，并不意味着所有相关主机都已经遭到入侵，也不能据此认定所有网站都必然会受到同等程度的影响。
远程代码执行漏洞之所以危险，是因为攻击者可能通过网络向存在缺陷的服务器发送特制请求，在不需要合法账户或登录凭据的情况下执行恶意代码。一旦攻击成功，后果可能包括篡改网站页面、窃取服务器上的数据、植入恶意程序，甚至进一步控制整个服务器。对于保存用户个人资料、客户信息或交易记录的网站而言，遭到入侵还可能引发更广泛的数据泄露与业务中断。
安全研究机构 watchTowr 表示，根据目前流出的相关信息，这两项漏洞可能影响从 PHP 5 开始的多个版本。不过，在 PHP 官方完整披露漏洞细节和受影响版本清单之前，具体影响范围仍需要以正式公告为准。
更棘手的是，网站管理员不能仅仅依靠 WordPress 的自动更新功能解决问题。Wordfence 特别提醒，这次漏洞存在于 PHP 本身，而不是 WordPress 核心程序或某个插件之中。因此，即使网站已经自动更新 WordPress 核心和插件，服务器实际运行的 PHP 环境仍可能需要单独升级。
对于使用虚拟主机的用户，PHP 通常由主机服务商负责维护；如果网站运行在自行管理的虚拟专用服务器、云服务器或独立服务器上，维护责任则可能落在网站所有者或系统管理员身上。网站运营者需要确认当前使用的 PHP 版本、服务器由谁管理，以及服务商是否会及时部署修复版本。
欧洲网络安全应急响应团队（CERT-EU）和英国国家网络安全中心均已发布警告，建议无法立即完成修复的组织，暂时将面向互联网的应用与公共网络隔离，或者直接让相关网站下线，直到漏洞得到有效缓解。欧盟方面特别指出，漏洞可能允许攻击者在不登录系统的情况下执行恶意代码，因此组织应提前识别受影响资产，并做好紧急更新准备。
部分机构已经采取预防措施。移动操作系统 GrapheneOS 的开发团队表示，由于针对漏洞的概念验证攻击代码正在开发中，为避免承担不必要的风险，已暂时关闭其用户讨论论坛。PHP 开发者吉娜·彼得·巴尼亚德也表示，安装补丁是解决问题的关键；如果无法及时修复，关闭服务器可能是较为稳妥的选择。
网络安全研究人员还警告称，补丁发布后，攻击者可能迅速分析修复前后的代码差异，从中找出漏洞利用方法，并对尚未更新的服务器发动大规模攻击。安全研究机构 Sansec 预计，补丁公开后短短15分钟内，就可能出现大规模攻击活动。该预测并不代表攻击必然会在这一时间内发生，但反映出安全行业对漏洞公开后风险迅速扩大的担忧。
与此同时，Cloudflare 首席技术官戴恩·克内希特表示，平台已经观察到针对运行 PHP 网站的早期攻击迹象。Cloudflare 正在临时调整防火墙规则，以便在官方补丁发布前提供额外防护。不过，他强调，这些措施只能作为过渡方案，不能替代正式修复。
澳大利亚网络安全中心则表示，当时尚未发现与这两项漏洞有关的已确认利用活动，并建议组织尽快盘点内部运行 PHP 的系统、提前准备补丁，并持续监控应用程序是否出现异常。不同安全机构对攻击情况的表述有所差异，意味着威胁情报仍在快速变化，网站运营者不应仅凭尚未确认大规模攻击，就认为自身系统处于安全状态。
对于普通网站所有者而言，此次事件最重要的教训是：网站安全不仅取决于内容管理系统和插件是否保持最新，还取决于服务器底层运行环境是否得到及时维护。即便网站平时很少更新内容，只要仍通过互联网提供服务，底层软件的严重漏洞就可能成为攻击入口。
PHP 官方计划在2026年10月21日14时协调世界时发布修复版本，对应北京时间22时。开发团队表示，届时将进一步公布漏洞细节、受影响版本以及修复版本信息。网站管理员应在官方更新发布后，尽快确认服务商或自身服务器是否已经完成修复，并在必要时检查系统日志及异常活动。
随着 PHP 补丁即将发布，全球大量网站将进入紧急维护阶段。此次事件的风险不仅来自漏洞本身，也来自互联网中数量庞大的旧版本服务器，以及网站所有者可能无法及时完成更新的现实。对于无法立即修复且直接暴露于互联网的关键系统，暂时限制访问或下线，可能比继续冒险运行更为安全。
了解更多：
