PHP重大漏洞与紧急更新引发跨国停服和运维应急 · 话题榜 · TwKit

@nyxvoid92

今晚 10 点，全球 PHP 服务器准备迎来大逃杀。 ​两个直通核心的 RCE 漏洞被提前外泄，传闻免验证一个请求直接拿 Shell（PHP2Shell 工具图都流出来了）。 ​最惨的是 PHP 8.1 以下完全不给补丁，而全球有高达 59% 的对外主机还在跑旧版。今晚 22:00 官方一发 Patch 等于直接开战，15 分钟内全网开扫。 ​还在跑 PHP 7、PHP 5 祖传代码的公司，现在除了拔网线跟锁 WAF 真的没别招了，好自为之。

@loki_yan_seo

我看到高市早苗也发PHP漏洞这个事情，I was like 😨。这玩意已经严重到连一国首相都要转发了吗？

@_FORAB

席卷全球！仅今天晚上，多个国家领导人、政府网络安全部门、AI 公司，纷纷就 PHP 编程语言重大漏洞紧急发文，包括芬兰、荷兰和法国在内，已将政府网站紧急下线。 而原因是今天 PHP，爆出两个超高危漏洞，合称 PHP2Shell，还是研究员借助 AI 发现的。黑客不用登录，发一个请求就可能控制整台网站服务器。 他们能通过这个漏洞，在你家用 PHP 搞的网站上，装木马、偷数据，甚至能把网站搞瘫。 据估算，暴露在互联网上的 PHP 服务器，已超 510 万台。 所以现在的情况是，PHP 团队紧急更新了补丁，要求所有人立刻马上升级。 而 CDN 厂商 Cloudflare 的 CTO 也说，已经看到有早期攻击现象出现。 英国国家网络安全中心 NCSC 也建议，补不了的系统先下线，欧洲有不少网站因此停掉。

@realNyarime

今早一看生产环境，清一色的PHP7.4和PHP8.2，我想完了。。。 PHP2Shell 是 Calif[.]IO 出的 exploit 工具，声称对 PHP 5.4.0 以来的所有版本有效 官方建议的临时缓解措施直接暴露了漏洞性质：session.upload_progress.enabled = 0（关闭PHP上传进度） session.use_strict_mode = 1（严格session模式） multipart/form-data 上传时，PHP_SESSION_UPLOAD_PROGRESS 字段的内容会被 PHP 作为 session 数据解析（反序列化），恶意 payload 触发 PHP 内置类魔术方法 → RCE

@otterpal24

东大的php在企业中的应用超乎想象，我估计有大约三分之一的企业都在使用php作为内部系统的首选。我早三年前切入跨境电商，发现这些企业全部都在用PHP，并且好多人毕业十来年，只会php，也工作的好好的。昨天跟他们说php的漏洞，毫不在意，有的还在用php7.3。说真的，跨境电商内部数据系统攻破了，你能干嘛？拿一堆商品的sku有啥用？ 我们总有AI的焦虑，觉得再不学就淘汰了，可是这个世界上可能大部分企业已经落后互联网几个时代了，还活的好好的。

@hkepcmedia

【注意 ⚠️】全球廣泛採用的網頁伺服器端指令碼語言 PHP 爆出嚴重安全漏洞。PHP 官方安全團隊原定於香港及台灣時間 10 月 21 日晚間釋出緊急更新，以修補兩個 CVSS v4.0 評分高達 9.2 的重大漏洞。然而，相關弱點細節與編號在保密禁運期（Embargo）結束前不幸提前外洩。資安研究機構證實，這兩個漏洞皆屬於 PHP 核心層級的遠端程式碼執行（RCE）弱點；更嚴峻的是，全球目前有近六成對外連線的 PHP 伺服器因版本過舊已終止支援，將無法獲得官方安全修補。 據悉，整宗事件起因於社交討論平台 Hacker News 上出現的一則爆料貼文，宣稱 PHP 存在兩個最高嚴重等級的 RCE 漏洞，影響範圍涵蓋 PHP 5 之後的所有版本。雖然該貼文隨即遭到刪除，但截圖已在各大社交與通訊平台上瘋傳。 該貼文詳細描述，該兩項弱點均存在於 PHP 的 session.upload_progress（Session 上傳進度處理器）模組中，屬於「堆積釋放後使用」（Heap Use-After-Free, UAF）漏洞。當伺服器在處理檔案上傳進度狀態時，因記憶體釋放管理不當，可能導致攻擊者藉此劫持程式控制流程，進而達成遠端程式碼執行（RCE）或引發伺服器崩潰。 資安業者 watchTowr 隨後證實外洩情事屬實，並成功重現其中一個漏洞，確認兩項漏洞編號分別為 CVE-2026-109618 與 CVE-2026-109619。由於攻擊概念與相關資訊提前曝光，PHP 官方團隊被迫調整排程，將原定於 10 月 22 日發布的更新提前一天至 10 月 21 日釋出。業界更傳出網絡上已出現名為「PHP2Shell」的潛在攻擊工具截圖與概念驗證展示，顯示攻擊者可能無須通過任何身分驗證，僅需發送特定惡意請求即可取得伺服器控制權限。 資安圈對於該漏洞過早於社交網絡公開反應強烈，多位專業人士指出，PHP 作為全球大量網站與 Web 應用伺服器的底層核心語言，其未修補的重大漏洞一旦曝光，將使無數伺服器在官方釋出修補更新前，處於毫無防護的空窗期。 研究人員 4latte 在社交平台上情緒激動地斥責提前洩漏漏洞者：「難道你就不能再等 14 個小時嗎？」並直言該行為已嚴重違反資安業界倫理，應被資安及相關產業永久列入黑名單。 本次漏洞最棘手的關鍵在於受影響的基礎設施規模極為龐大。根據威脅情資平台 Mallory 透過 Shodan 針對全球約 150 萬部回報 PHP 版本的對外伺服器進行掃描分析，高達 59%（約 88.4 萬部）的主機仍執行已經停止支援（EOL）的舊版本： ▪️PHP 8.2 至 8.5（約 61.2 萬部）：屬於官方目前維護分支，將獲得官方修補程式（預計釋出 8.5.12、8.4.27、8.3.36 與 8.2.35）。 ▪️PHP 8.0 與 8.1（約 18.6 萬部）：已停止官方維護，無法取得官方修補。 ▪️PHP 7.x 系列（約 32.9 萬部）：已停止官方維護，無法取得官方修補。 ▪️PHP 5.x 系列（約 36.9 萬部）：已停止官方維護，無法取得官方修補。 由於 PHP 長年作為 WordPress、WooCommerce、Drupal、Joomla 及眾多企業內部系統與 Web API 的底層核心，且多數虛擬主機採用同一 IP 託管數十至數百個網站的架構，實際曝險的網站與服務數量預計遠高於主機統計數字。 資安專家建議，各企業與網站營運團隊應在修補程式生效前後立即採取以下防禦步驟： ▪️立即清查伺服器、內部系統及邊緣網絡設備中所有 PHP 執行點，包括執行模式（PHP-FPM、mod_php、php-cgi）與具體版本號。 ▪️對於使用 PHP 8.1 或更早版本的伺服器，由於缺乏官方修補，應立即規劃升級至 8.2 以上受支援分支；若短期內無法升級，應將服務置於內部網絡、搭配 VPN 或 IP 白名單存取，並考慮導入 WAF 阻擋異常請求。 ▪️RCE 漏洞成功利用的表徵，通常是 PHP 背景程式異常衍生出子行程。防守方應密切監控 php-fpm、php-cgi 或網頁伺服器（Apache / Nginx）是否異常啟動系統 Shell（如 sh、bash、cmd.exe、powershell.exe）、下載工具（如 curl、wget、certutil.exe）或執行高風險偵察指令（如 whoami、id、uname）。 https://www.php.net/archive/2026.php#2026-10-20-1

@AyagawaSeirin

PHP 核心曝出两个 RCE（远程代码执行）🤯 据目前披露消息，影响 PHP 5～8 版本！ 漏洞编号：CVE-2026-109618、CVE-2026-109619。PHP 官方评分均为 CVSS v4.0 9.2，补丁计划北京时间 10 月 21 日 22:00 发布。 跑 PHP 的站长注意了，提前盘点环境，准备更新！

@Yucohanhan_ROC

PHP 程式語言開發團隊公告，發現 CVE-2026-109618 與 CVE-2026-109619 兩個重大安全漏洞，攻擊者可在未授權情況下遠端執行惡意程式碼，其 CVSS v4.0 評分均高達 9.2，預定在今晚 22:00（台灣時間）緊急發布安全更新。 由於 PHP 在全球被近七成大小型各類服務所使用，所以影響範圍非常之廣。 開發團隊呼籲所有 PHP 用戶在更新發布時立即升級。目前具體細節尚未發布，但由於在更新檔發布當下攻擊者便會開始研究並攻擊，因此各類大量遊戲、網站等已公告將於今晚緊急關閉下線，進入無限期維護。 歐盟電腦緊急應變小組（CERT-EU）、日本國家網路安全統括室（NCO）已相繼發布警告，此漏洞可能會導致資料庫外洩、網站被竄改，並能夠在內網橫向移動，甚至於透過刪除資料、加密檔案或耗盡資源讓服務中斷。

@WildVariable01

PHP的漏洞看起来很严重 一国首相亲自下场 欧洲部分国家已经预防针关闭部分网站 愿世界和平

@mjjwiki

PHP核心曝两个严重RCE漏洞（CVE-2026-109618/109619），可直接拿Shell。 ​PHP 5.4及以上版本均受影响，但官方仅修复PHP8.2~8.5的版本。 ​官方将于今晚（10月21日）22:00发布补丁，补丁代码一公开，黑客15分钟内就能逆向出攻击脚本，全网通杀所有未打补丁的机器！#PHP #网络安全

@MaxForAI

完蛋了，全球56%的互联网今晚可能会被打穿…. 刚看到群里在传PHP2Shell的消息，PHP发出严重漏洞预警，计划于今晚22点发布安全更新。 查了一下，PHP官方确实已经发了预告：这次将修复两个CVSS v4.0评分均为9.2的严重漏洞，提醒所有PHP用户提前做好升级准备。 公开预警列出的漏洞编号sCVE-2026-109618和CVE-2026-109619。根据CERT-EU的公告，漏洞可能导致远程代码执行，潜在影响范围覆盖PHP5及以后的版本。 具体哪些版本、哪些部署条件受影响，还要等官方公布完整细节。 更麻烦的是旧系统。目前PHP官方支持的稳定分支是8.2、8.3、8.4和8.5，8.1及以下版本已经结束官方支持。还在维护这些系统的团队，需要尽快确认自己的修复渠道和升级方案。 有PHP业务的朋友，建议现在就确认运行版本和更新渠道，准备在修复发布后尽快部署。 对于暂时无法修复的对外服务，CERT-EU建议考虑先隔离公网访问。

@lidangzzz

因为很多日本传统企业的IT support、devops是真不上网看圈外新闻，不看英文新闻和社区，也完全不管安全，任何新闻完完全全不关心。 如果高市早苗不提一句，他们能一直装傻充愣到几个月以后被真正攻击一次。 这种企业放在20年前，就应该老老实实用微软和oracle的技术，有问题直接推送更新， 服务商和外包直接线下一封封邮件发过去，甚至直接人工一个个打电话、发传真过去，告诉他们事情的紧急性，安排他们两周内开个会，帮他们手把手上门升级。 对于这些日本传统企业而言，这才是最安全、最正确、最及时的处理方式。 现在让他们碰上php这坨史诗级开源大屎山，反而是害了他们，因为相当一部分企业不用外包，自己员工又是大水逼，没有人能接受信息和承担责任了。

@qwerty__cs

今天，赶紧改掉重复使用的密码！ 重要！重要！重要！ PHP曝出十多年来最重大漏洞，一个网站被黑，多个账号都可能遭殃！ 购物网站、论坛、在线服务，大量网站都在用PHP。网站被攻破，你的电话、家庭地址、密码、订单信息都可能泄露。 攻击者拿到你的密码后，就能挨个尝试登录你的邮箱、社交账号和支付账户。 现在就做三件事： 1.改掉重复密码，重要账号各用各的。 2.开启双重验证，先保护邮箱，它能重置其他账号的密码。 3.收到“账号异常”“紧急重置密码”的邮件短信，别点链接，直接打开官方App查看。

@fxtrader

因严重安全漏洞，PHP团队紧急推出更新填补漏洞。技术细节在补丁发布前已部分泄露，并出现了名为PHP2Shell的利用工具讨论和早期攻击迹象（Cloudflare 等已观察到）。欧洲及其他地区多个政府网站周三被迫下线，网站运营商紧急采取措施保护系统安全。 目前PHP语言驱动了互联网上大量网站（估计约 70% 已知服务器端语言的网站使用PHP，WordPress单独就占相当大比例）。几乎所有基于WordPress、Drupal、Joomla、Magento、Laravel、Symfony等的站点，只要运行未打补丁的PHP，都可能被直接打穿。

@dotey

PHP 曝两个免登录就能接管服务器的漏洞，AI 参与发现，所有 PHP 网站要马上升级 PHP 官方 10 月 21 日紧急发布 8.5.12、8.4.27、8.3.36、8.2.35，修补两个严重漏洞（CVE-2026-109618、CVE-2026-109619，研究者叫它 PHP2Shell）。按 PHP 官方的说法，攻击者不用登录，发特制请求就可能在服务器上执行任意代码，等于拿到整台服务器。WordPress、Drupal、Magento 都跑在 PHP 上，OpenAI 引用的估算是约 70% 的网站在用它。 【我的 PHP 网站受影响吗】 基本都在范围内。PHP 官方说，凡是对外处理网页请求的 PHP 都有风险，PHP-FPM、Apache mod_php、LiteSpeed 等常见跑法全包括，mod_php 风险最高。按 Wiz 和 Sansec 的说法，2012 年发布的 PHP 5.4 以来的版本都受影响。 问题出在 PHP 引擎本身，好比大楼门锁坏了，你家装修得再好也没用。Wiz 和 Calif 已在最新版 WordPress、Drupal、Laravel 等上演示了免登录攻击。 【现在该做什么】 自己管服务器的：立刻升级到上面四个版本之一。PHP 8.1 及更早版本官方已停止维护，只给了 7.4、8.0、8.1 的源码补丁；用 Ubuntu、Debian 等发行版自带 PHP 的，看发行版的安全更新。 用虚拟主机、托管 WordPress 的普通站长：PHP 由主机商管，装插件、改网站代码都修不了。去控制面板看 PHP 版本，或直接问主机商补了没有。 PHP 官方给的临时配置只能降低风险，官方明确说升级才是唯一完整的办法。Cloudflare 给所有用户（含免费版）上了拦截规则，但它自己也说只是临时挡一下，而且只管经过 Cloudflare 的流量，攻击者绕开它直连服务器就挡不住。 【AI 立了什么功】 OpenAI 说，安全公司 Calif 在它的 Patch the Planet 计划里用 GPT-5.6 Sol 找到漏洞。据 Sansec 整理的时间线，Calif 8 月 11 日就报给了 PHP；Wiz 也独立发现并上报，用的是 Gemini 4 Argon 和 GPT-5.6 Sol 等工具。OpenAI 称两个月来牵头协调维护者和安全厂商准备修复，认为这是近年影响最大的漏洞之一，也是 AI 抢在攻击者前面发现漏洞的例子。 【提前泄露了吗】 属实。漏洞原定 10 月 22 日公开，20 日有人在 Hacker News 发帖提前曝光，帖子删了但截图已传开，PHP 官方随即把发布提前到 21 日。 攻击已经开始。Cloudflare CTO 在补丁发布前几小时就说看到早期攻击；安全公司 watchTowr 说已有人用 AI 辅助写的工具发起攻击，"目前还没人成功，但不会太久"。荷兰政府的 DigiD 等网站先自行下线避险。 PHP 官方公告：https://www.php.net/archive/2026.php#2026-10-21-5 OpenAI 原文：https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/ Wiz 技术说明：https://www.wiz.io/blog/php2shell-php-rce

@mylifcc

“PHP 是世界上最好的语言”，但今天可能是全球 PHP 运维最难熬的一夜。 代号 PHP2Shell 的两个 PHP 核心 RCE 漏洞（CVE-2026-109618 / 109619）提前泄露，CVSS 评分高达 9.2。最要命的不是漏洞本身，而是补丁发布后的“黄金 15 分钟窗口期”。 别等今晚 22:00 补丁出来才手忙脚乱，现在必须立刻完成这 3 步排查 🧵👇

@fiapp_pro

如果我是 FBI，我已经拿着 OpenAI cyber 模型开始入侵老中的所有 PHP 网站了。