PHP致命双漏洞险些瘫痪全球互联网，百万系统紧急打补丁

事件概述

周三，一项拥有数十年历史的开源Web技术——PHP，因两个潜伏多年的关键漏洞差点将互联网拖入危机。这两位”沉睡者”长期以来未被发现可利用，直到安全研究人员最近找到了触发它们的正确方式。

这两个漏洞被业内称为“PHP2Shell”，官方编号为CVE-2026-109618与CVE-2026-109619。简单来说，任何掌握利用方法的人，都能在无需密码的情况下，入侵运行PHP的在线系统（包括网站或面向互联网的服务器），并对数据读取或篡改为所欲为。

这是一起规模空前的安全事件，迫使全球数百万用户在恶意黑客出手之前争分夺秒地为系统打上补丁。

负责维护PHP开源项目的PHP基金会于周三公开发布了修复补丁，成功安装后可有效阻止针对Web服务器的攻击。在此之前，基金会已经向众多依赖PHP的大型互联网企业及托管服务商提前提供了预警，为紧急修复争取了宝贵时间。

得益于业界数周以来的紧密协调与幕后沟通，全球迄今在很大程度上避免了大规模网络攻击的爆发。从周三起，多国政府开始敦促境内企业与网站运营者采取行动，降低自身风险。各类行业纷纷关停网站、下线服务以进行系统修补——银行、零售平台、游戏站点、电商平台、医疗机构及部分政府机构均采取了断网措施。

PHP2Shell之所以极其危险，是因为它可通过互联网在受害者毫无察觉的情况下被远程利用——攻击者无需诱导目标点击链接或打开文件。这种漏洞类型被称为远程代码执行，属于杀伤力最强的安全缺陷之一，一旦得手，攻击者可近乎获得对受影响系统的完全控制权。

更令人担忧的是，这两个PHP漏洞允许攻击者绕过所有身份验证机制，直接侵入任何未修补的系统，这在安全领域被称为无认证访问。

这意味着恶意黑客可以在目标计算机中植入恶意软件，窃取敏感数据，或建立持久化的后门通道以便日后再次入侵。

这一漏洞之所以影响范围极广，根本原因在于PHP本身的广泛普及。它不仅是免费开源的，而且上手门槛相对较低，加之历史悠久的技术积累，使得全球约70%的Web服务仍建立在PHP之上。尽管近年来其市场份额因更安全的新一代编程语言而缓慢下滑，但存量规模依然庞大。

得益于PHP的统治地位，一些全球知名网站均由基于PHP的框架支撑，例如WordPress（TechCrunch即运行于此）、Drupal、Joomla，以及 powering Wikipedia的MediaWiki。

PHP只是互联网基础设施中众多”古老却可靠”的技术之一。它们经历了多轮互联网浪潮的洗礼，早已成为维系整个网络生态的”黏合剂”。然而，这些项目大多由开源志愿者维护，缺乏资金支持，无力承担第三方专业安全审计，但无数企业却在无偿使用它们却鲜有回馈。

Calif安全研究团队在全球范围内广泛使用的PHP语言中发现了这两个漏洞。PHP既用于构建面向公众的网站，也广泛应用于企业内部网络（如内网和内部站点）的本地部署环境。

作为开源项目，PHP对所有人免费开放，任何人都可以出于几乎任何目的使用它，这使其成为当今最流行、应用最广泛的Web编程语言之一。

这两个漏洞最早于2024年被发现，但当时被认为不具备实际利用价值，因此未被纳入修复计划。近期，安全研究人员成功找到了触发利用的方法，随即向PHP官方报告，推动漏洞修复。

安全研究人员警告称，危机尚未结束。目前全球仍有大量系统未完成修补，处于易受攻击的状态，数据和隐私泄露的风险依然存在。

此外，这恐怕不会是最后一次引发全球关注的互联网软件安全危机。随着AI技术的快速发展，智能体正以前所未有的速度识别尚未被发现的安全漏洞，未来类似风险可能以更密集的频率出现。

关注微信号：智享开源 ，及时了解更新信息。

0 0