PHP漏洞导致全球网站停运

PHP基金会在周三宣布了针对 CVE-2026-109618 和 CVE-2026-109619 的补丁。

这些缺陷可能使攻击者能够远程控制服务器。

补丁在上午10点（东部时间）之前发布。

PHP基金会指出，更新是唯一安全的选择。

各国政府和主要网站关闭了站点以防止被利用。

澳大利亚情报局、法国警察省、德国政府IT服务、比利时外交部、荷兰网络安全机构、芬兰国家土地测量局等机构将站点下线。

美国国家安全局警告称，这些漏洞可能直接访问文件系统或数据库。

英国国家网络安全中心建议检查后门。

Cloudflare首席技术官Dane Knecht 表示早期攻击正在出现。

Cloudflare 更新了防火墙规则作为临时措施。

这些漏洞最初由安全公司 Calif 和 Wiz 使用人工智能工具发现。

PHP 约占可识别网站的 75%。

该语言免费且由志愿者维护。

WordPress、维基百科、Slack 和 Adobe 的 Magento 均基于 PHP。

这些漏洞影响从 PHP 5 版本开始的所有安装，尽管只有 PHP 8.2+ 获得官方支持。

如果未打补丁，旧版 PHP 仍可能存在漏洞。