紧急安全事件

PHP编程语言曝出两项CVSSv3评分9.2的高危漏洞，影响全球约70%网站。日本首相、内阁官房长官相继发出紧急警告，银行、铁路、政府部门大范围下线，多国同步启动应急响应。

70%

全球网站使用PHP，约3300万个

9.2

两项漏洞CVSSv3评分（均为最高危级别）

2项

内存安全漏洞，统称PHP2Shell

漏洞本身：两处内存炸弹

漏洞编号

CVE-2026-109618 / CVE-2026-109619

别称

PHP2Shell

漏洞类型

底层内存安全漏洞（内存破坏）

触发方式

攻击者发送特制multipart POST请求，无需身份验证

危害后果

可完全接管服务器，渗透文件系统与数据库

CVE-2026-109618

9.2

CVE-2026-109619

9.2

数据来源：PHP官方披露 / 安全机构评级

攻击如何发生：四步接管服务器

1

构造恶意POST请求

攻击者向PHP网站发送包含特定结构的multipart数据，触发底层内存解析缺陷

2

内存破坏触发

服务器处理请求时发生内存写入越界，攻击者获得任意代码执行能力

3

供应链扩散

WordPress、MediaWiki等数百万使用PHP的平台均受波及，单个漏洞沿供应链层层扩散

4

完全控制服务器

无需登录即可窃取数据、植入恶意软件，或进一步勒索目标机构

php、node 同日爆出高危漏洞

桂花糖热品科技

10.22天啊!openai发现php漏洞!日本多款游戏维护!

乐语笑聊娱乐

日本：哪些机构受冲击

政府部门

财务省、厚生劳动省、国税厅、气象厅

部分官网关闭功能或暂停信息显示

金融机构

瑞穗、三菱日联、静冈银行、大和证券

暂停部分线上业务，进行紧急安全加固

交通运输

JR东日本、JR西日本、阪神电铁、阪急电铁

部分官网停公开；用户无法调取电子登机牌

保险/餐饮/科技

东京海上日动、食其家、滨寿司、京都银行

官网或App关闭部分功能，京都银行从21日晚间起即暂停

php 高危漏洞引发日本数字服务大规模停摆, 银行、航空、铁路纷纷下线避险

IT之家

"发现重大安全漏洞",日本政府警告:尽快安装修复补丁

凤凰卫视

全球联动：各国如何应对

日本

首相高市早苗X平台紧急发文；官房长官木原稔记者会要求"尽快打补丁，难以修复则关闭网站"

美国

NSA、FBI网络安全部门联合警告，要求立即修补，无法修补则下线

欧盟

欧盟计算机应急响应小组发布通报，建议隔离无法立即修补的系统

荷兰

NCSC-NL关闭官网，鹿特丹港、政府门户Overheid.nl、多家公立医院相继下线

英国

NCSC发布应对提醒，要求各组织立即采取行动

芬兰/法国

芬兰从21日起关停政府网站；法国内政部将全部对外网站切换维护模式

韩国

向5900家成员单位及近3万家重点企业发出安全通告，评估为中小企业提供技术支援

AI加速"漏洞竞赛"：防守窗口正在收窄

补丁前四天已有探测

亚马逊蜜罐系统在10月17日即捕获针对该漏洞的试探性利用行为，比官方披露提前整整四天

AI压缩"从补丁到武器"周期

攻击者可借助AI快速分析修复代码、逆向推导漏洞成因，并自动生成稳定利用载荷

OpenAI参与发现

美国Calif公司与Wiz公司率先发现并上报，Wiz称"这是软件历史上最严重的漏洞之一"

"当前已进入一场'漏洞利用速度竞赛'，防守方的时间优势正在急剧收窄。"

网络安全研究组织TLP联合创始人 科斯汀·拉尤（Costin Raiu）

为何日本受冲击最深：老旧基础设施之困

遗留系统依赖严重

大量政府与金融机构仍运行老旧PHP版本，系统升级复杂度高，难以快速部署补丁

集中外包带来连锁失守

此前警察信息泄露事件已暴露"一家承包商失守、22个府县同时中招"的风险

近期攻击频率急剧攀升

2026年前九个月日本已报告600起网络攻击，超过2025年全年总数；AI无差别攻击进一步放大暴露面

日企发现近期大规模网络攻击的源头出现中国ai身影:不是这也要赖?(中日双语)

老日观察社社长

网站运营者应该怎么做

官方建议的紧急行动清单

检查服务器上的PHP版本，确认是否使用受影响版本

立即升级至PHP官方于10月21日发布的四个安全版本之一

若无法立即升级，暂时将网站下线以防止漏洞被利用

部署完成后，通过安全扫描工具验证补丁生效

密切监测服务器日志，排查是否已存在可疑访问行为