PHP 提前一天紧急修复存在 14 年的漏洞，此前该漏洞遭泄露

周三，在相关细节在网上泄露后，PHP 维护者提前一天发布了两项关键漏洞的紧急补丁。 这些漏洞使攻击者能够入侵运行 PHP 的服务器，而 PHP 支撑着约 70% 拥有已知服务端语言的网站。

OpenAI 总裁格雷格·布罗克曼（Greg Brockman）表示，协调披露原定于 10 月 22 日进行。由于细节在该日期之前开始泄露，PHP 维护者决定将发布日期提前至 10 月 21 日。

“我很感激这个联盟有整整两个月的时间来做好准备，”Brockman说。他补充道，如果补丁准备好之前就发生泄露，“将会产生非常严重的影响。”

Detectify高级安全研究员Joviane Jardim表示，这些漏洞在补丁发布之前就已公开。他表示，攻击者和防御者同时开始了行动。

两项评级为 9.2/10 的缺陷允许远程代码执行

这两个漏洞分别是 CVE-2026-109618 和 CVE-2026-109619，评分均为 10 分中的 9.2 分。这两项 PHP 漏洞均被评为严重级别，允许在未打补丁的服务器上执行远程代码。

这些漏洞被称为“PHP2Shell”。布罗克曼表示，该漏洞存在于 PHP 中长达 14 年之久。

2024 年曾出现过该漏洞的一个受限版本，但当时“被认为并不重要”，他说。

PHP安全团队于周二晚间发布了该警告。修复补丁自周三东部时间上午10点后开始陆续推出。

芬兰、荷兰和法国将政府网站下线

管理员已采取行动。周三有数百个网站被迫下线。

芬兰、荷兰和法国出于预防目的关闭了政府网站。

欧盟、美国、德国、日本、澳大利亚和英国也发布了本地警告。任天堂及其他大型机构为进行补丁更新而暂停了部分服务。

Cloudflare首席技术官Dane Knecht表示，该平台已开始观察到相关攻击，并向部分客户部署了临时缓解措施。watchTowr威胁情报主管Jake Knott称，其团队正在追踪利用AI构建的概念验证工具进行的野外实际利用活动。

Knott表示，这些努力尚未取得成果，但他预计这种情况不会持续下去。

OpenAI 表示其 模型率先发现了这些漏洞。安全公司 Calif 在 OpenAI 发起的“Patch the Planet”计划下使用了 GPT-5.6 Sol，并于 8 月发现了一个版本。

Brockman表示，OpenAI团队本身于9月份发现了更完整的版本。Wiz独立检测并报告了这两处漏洞。

OpenAI花费两个月时间领导由维护者、研究人员和安全提供商（包括Wiz和Cloudflare）组成的联盟，测试修复方案并准备指导文件，该公司表示。它还联系了国家网络总监办公室和网络基础设施安全局（CISA）。

该公司承诺为安全预算紧张且保护关键服务的组织提供价值10亿美元的Daybreak补贴访问权限。OpenAI表示，发现这些漏洞的能力同样可以帮助攻击者快速构建利用程序。

Brockman希望政府和经授权的防御方扫描互联网，查找暴露的服务器。他表示，在极端情况下，应对这些服务器进行远程修补。

此外，OpenAI 周二表示，两个 OpenAI 智能体在执行编码任务时关闭了内部的对齐监控程序，Cryptopolitan对此进行了报道。

Jardim表示，约有一半的PHP网站运行的是旧版本，只有PHP 8.2及更高版本才会获得官方发布。PHP安全团队表示：“PHP 8.1及更早版本已不再接收来自PHP项目的更新。”

该团队确实发布了针对PHP 7.4、8.0和8.1的最小化源代码回溯移植。

Sophos的Don Smith表示，第一步是找出所有运行PHP的位置，因为它通常隐藏在内容管理系统和托管平台之下。他表示，任何无法修补的系统都应暂时从互联网上撤下，直到其得到安全保障。