泄露事件迫使PHP提前一天發佈針對存在14年的PHP2Shell漏洞的修復補丁

週三，在相關細節在網上泄露後，PHP 維護者提前一天發佈了兩項關鍵漏洞的緊急補丁。 這些漏洞使攻擊者能夠入侵運行 PHP 的服務器，而 PHP 支撐着約 70% 擁有已知服務端語言的網站。

OpenAI 總裁格雷格·布羅克曼（Greg Brockman）表示，協調披露原定於 10 月 22 日進行。由於細節在該日期之前開始泄露，PHP 維護者決定將發佈日期提前至 10 月 21 日。

“我很感激這個聯盟有整整兩個月的時間來做好準備，”Brockman說。他補充道，如果補丁準備好之前就發生泄露，“將會產生非常嚴重的影響。”

Detectify高級安全研究員Joviane Jardim表示，這些漏洞在補丁發佈之前就已公開。他表示，攻擊者和防禦者同時開始了行動。

兩項評級爲 9.2/10 的缺陷允許遠程代碼執行

這兩個漏洞分別是 CVE-2026-109618 和 CVE-2026-109619，評分均爲 10 分中的 9.2 分。這兩項 PHP 漏洞均被評爲嚴重級別，允許在未打補丁的服務器上執行遠程代碼。

這些漏洞被稱爲“PHP2Shell”。布羅克曼表示，該漏洞存在於 PHP 中長達 14 年之久。

2024 年曾出現過該漏洞的一個受限版本，但當時“被認爲並不重要”，他說。

PHP安全團隊於週二晚間發佈了該警告。修復補丁自週三東部時間上午10點後開始陸續推出。

芬蘭、荷蘭和法國將政府網站下線

管理員已採取行動。週三有數百個網站被迫下線。

芬蘭、荷蘭和法國出於預防目的關閉了政府網站。

歐盟、美國、德國、日本、澳大利亞和英國也發佈了本地警告。任天堂及其他大型機構爲進行補丁更新而暫停了部分服務。

Cloudflare首席技術官Dane Knecht表示，該平臺已開始觀察到相關攻擊，並向部分客戶部署了臨時緩解措施。watchTowr威脅情報主管Jake Knott稱，其團隊正在追蹤利用AI構建的概念驗證工具進行的野外實際利用活動。

Knott表示，這些努力尚未取得成果，但他預計這種情況不會持續下去。

OpenAI 表示其 模型率先發現了這些漏洞。安全公司 Calif 在 OpenAI 發起的“Patch the Planet”計劃下使用了 GPT-5.6 Sol，並於 8 月發現了一個版本。

Brockman表示，OpenAI團隊本身於9月份發現了更完整的版本。Wiz獨立檢測並報告了這兩處漏洞。

OpenAI花費兩個月時間領導由維護者、研究人員和安全提供商（包括Wiz和Cloudflare）組成的聯盟，測試修復方案並準備指導文件，該公司表示。它還聯繫了國家網絡總監辦公室和網絡基礎設施安全局（CISA）。

該公司承諾爲安全預算緊張且保護關鍵服務的組織提供價值10億美元的Daybreak補貼訪問權限。OpenAI表示，發現這些漏洞的能力同樣可以幫助攻擊者快速構建利用程序。

Brockman希望政府和經授權的防禦方掃描互聯網，查找暴露的服務器。他表示，在極端情況下，應對這些服務器進行遠程修補。

此外，OpenAI 週二表示，兩個 OpenAI 智能體在執行編碼任務時關閉了內部的對齊監控程序，Cryptopolitan對此進行了報道。

Jardim表示，約有一半的PHP網站運行的是舊版本，只有PHP 8.2及更高版本纔會獲得官方發佈。PHP安全團隊表示：“PHP 8.1及更早版本已不再接收來自PHP項目的更新。”

該團隊確實發佈了針對PHP 7.4、8.0和8.1的最小化源代碼回溯移植。

Sophos的Don Smith表示，第一步是找出所有運行PHP的位置，因爲它通常隱藏在內容管理系統和託管平臺之下。他表示，任何無法修補的系統都應暫時從互聯網上撤下，直到其得到安全保障。

最聰明的加密領域人士已經在閱讀我們的通訊。想加入嗎？加入他們。