PHP漏洞在周三披露后引发数百万次攻击尝试

PHP 开发者周三发布了两个严重漏洞的修复程序。Cloudflare 首席执行官 Matthew Prince 表示，数小时内就出现了数百万次漏洞利用尝试。这些漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，严重程度评分为 9.2 分（满分 10 分），影响所有运行 PHP 5.4 或更高版本的 Web 服务器。精心构造的 Web 请求可能让攻击者导致服务器崩溃、泄露敏感数据或运行自己的代码。Prince 周三晚些时候在 X 上发文称，公开披露前 10 小时内，漏洞利用尝试从数千次增至数万次；公开披露后 45 分钟内达到数万次，2 小时内达到数十万次，周三晚些时候更是达到数百万次。PHP Foundation 表示，2024 年的一次审计首次发现了其中一个漏洞，但由于存在相互竞争的解决方案和资源限制，修复工作停滞了数月。Cloudflare 表示，近 70% 的网站使用 PHP，包括基于 WordPress 和 Magento 构建的网站。

PHP Foundation 揭示 2024 年审计发现了最初的漏洞

PHP Foundation 表示，一名受聘的核心开发者在 2024 年发现了导致其中一个漏洞的内存问题的早期迹象。这是在 Quarkslab 执行的 PHP 多年来首次外部安全审计期间发现的。安全团队拟定了几种相互竞争的修复方案，但每种方案都有取舍。该基金会在周三的一篇博客文章中表示，之后相关工作停滞又重启，持续了数月。基金会表示：“我们不会掩饰这一点：这次延误是结构性失误，既源于安全团队的决策流程，也源于其资源不足。”安全公司 Calif 于 8 月 11 日报告了一个根本原因相同的远程代码执行漏洞。漏洞编号在网上泄露后，PHP 将发布日期提前一天至 10 月 21 日。该基金会表示，如今 AI 辅助研究能以前所未有的速度发现漏洞，无论是对防御者还是攻击者而言都是如此。

加密平台被敦促安装补丁

区块链安全公司慢雾表示，其 MistEye 系统已扫描加密行业中与 PHP 相关的资产。该公司敦促各平台、去中心化金融项目和钱包服务提供商评估风险并安装已修补的版本。BNB Chain 增长执行总监 Nina Rong 发帖称，该网络的技术栈中不使用 PHP；Binance 创始人 Changpeng Zhao 则在 X 上发帖警告所有浏览网页的人。4 月，攻击者劫持了 CoW Swap 的前端域名，从用户处盗走至少 100 万美元（AU$143 万）。澳大利亚信号局网络中心将其 PHP 警报评为严重级别。该中心表示，并未发现澳大利亚境内有成功的活跃漏洞利用事件。该机构自己的网站 cyber.gov.au 也被列入报告发生服务中断的政府网站名单。

常见问题

PHP 开发者周三披露了什么？
PHP 开发者周三发布了两个严重漏洞的修复程序。这些漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，严重程度评分为 9.2 分（满分 10 分），影响所有运行 PHP 5.4 或更高版本的 Web 服务器。精心构造的 Web 请求可能让攻击者导致服务器崩溃、泄露敏感数据或运行自己的代码。

PHP Foundation 最初是在什么时候发现其中一个漏洞的？
PHP Foundation 表示，一名受聘的核心开发者在 2024 年发现了导致其中一个漏洞的内存问题的早期迹象。这是在 Quarkslab 执行的 PHP 多年来首次外部安全审计期间发现的。安全团队拟定了几种相互竞争的修复方案，但相关工作停滞又重启，持续了数月。

哪些加密平台回应了 PHP 漏洞警报？
区块链安全公司慢雾敦促各平台、去中心化金融项目和钱包服务提供商评估风险并安装已修补的版本。BNB Chain 增长执行总监 Nina Rong 发帖称，该网络的技术栈中不使用 PHP。Binance 创始人 Changpeng Zhao 则在 X 上发帖警告所有浏览网页的人。