PHP核心被曝两个CVSS 9.2分远程代码执行漏洞，影响全球约70%网站。荷兰、芬兰等多国政府在补丁发布前主动下线网站，黑客已开始批量扫描攻击。此次漏洞部分由AI模型发现，标志着AI挖洞从实验室进入实战。
9.2
CVSSv4.0 严重评分（满分10分）
~70%
全球网站使用PHP（W3Techs数据）
88万+
EOL旧版暴露公网，无官方补丁
从爆料到补丁：不到48小时
10月20日 HackerNews爆料
匿名帖引爆漏洞信息
HackerNews出现匿名帖，称PHP存在两个CVSS 10.0的RCE漏洞，将于10月22日全网公开，附带演示视频迅速扩散。
10月20日 19:33 UTC
PHP官方提前发布预警通告
watchTowr确认漏洞真实性后，PHP团队上线预警，将补丁发布时间从10月22日提前至10月21日14:00 UTC。
10月21日 补丁发布前
欧洲多国政府网站主动下线
荷兰鹿特丹港、Overheid.nl、芬兰国家土地测量局等政府机构、医院及日本多家游戏网站相继进入紧急维护。
10月21日 14:00 UTC
官方正式发布四版本修复补丁
PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 同步发布，Cloudflare CTO确认攻击已在野出现。
10月21日 晚间
OpenAI披露AI参与漏洞发现全链路
OpenAI公告：安全公司Calif用GPT-5.6 Sol发现漏洞之一；谷歌云同日披露Gemini 4 Argon参与补丁验证。
两个漏洞如何"无需登录就控服务器"
9.2
CVSSv4.0
未认证远程代码执行
攻击者发送特制HTTP请求即可触发，无需任何账号凭证，可在应用代码运行前夺取服务器控制权。
CVE-2026-109618
内存耗尽异常处理缺陷（CWE-787 越界写）
PHP处理multipart POST请求遇到内存不足时，内部请求数据尚未完全初始化即中断，后续清理操作将无效数据当作正常数据使用，导致内存损坏并最终实现RCE。mod_php风险最高——攻击者在任何应用代码执行前即可触发。
CWE-787 · 越界写
CVE-2026-109619
请求结束后内部状态残留（CWE-94 代码注入）
请求发生致命错误后，PHP进程保留指向已释放内存的引用。同一工作进程处理下一个请求时可能访问已失效数据，造成敏感信息泄露或进一步代码执行。关闭error_reporting无法阻止此攻击路径。
CWE-94 · 代码注入
1
扫描定位目标
攻击者批量扫描互联网，无需精准定向，直接发现暴露的PHP服务器。
2
发送特制请求
构造含大量嵌套字段或空文件控件的multipart请求，在不超过post_max_size限制的情况下耗尽memory_limit触发OOM。
3
触发内存损坏 → 获取Shell
PHP在异常退出时处理无效状态，攻击者获得服务器控制权。FPM模式下两次请求需落到同一工作进程，增加进程数可降低成功率但不能作为修复。
影响到底有多广
🌐
PHP 5及以上全系版本
影响通过网络处理请求的所有PHP部署：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed。
📦
主流CMS全线中招
WordPress（支撑全球43%网站）、Drupal、Joomla、Magento、MediaWiki、phpBB等均受影响。
🏛
欧洲政府大规模下线
荷兰鹿特丹港、政府门户Overheid.nl、多家医院；芬兰政府公共服务网站、荷兰NCSC-NL官网均下线。
🎮
日本游戏网站维护潮
碧蓝幻想、赛马娘、公主连结、命运-冠号指定及任天堂Switch网络服务平台相继进入紧急维护。
AI挖漏洞：防御与攻击同时提速
防御侧 ↑
AI发现漏洞
安全公司Calif用GPT-5.6 Sol发现CVE-2026-109618；Wiz独立发现并报告两项漏洞；谷歌云Gemini 4 Argon参与补丁验证，均纳入OpenAI"Patch the Planet"计划。
攻击侧 ↑
AI加速利用
伦敦国王学院研究员Lukasz Olejnik警告：AI辅助攻击手段扩散，可使漏洞利用在"大规模、即时"层面迅速蔓延；Sansec预计补丁发布后15分钟内即出现大规模扫描攻击。
Cloudflare CTO
Dane Knecht
"攻击已经出现，我们在持续更新防火墙规则作为过渡措施，但这仅是权宜之计，应尽快打补丁。"
来源：路透社报道
伦敦国王学院访问研究员
Lukasz Olejnik
"随着人工智能辅助攻击手段的扩散，漏洞利用可能在大规模、即时的层面上迅速蔓延。"
来源：路透社报道
修复版本对照：按你的当前版本升级
PHP 8.5
→
升级至 8.5.12
已修复
PHP 8.4
→
升级至 8.4.27
已修复
PHP 8.3
→
升级至 8.3.36
已修复
PHP 8.2
→
升级至 8.2.35
已修复
≤ PHP 8.1
→
无官方补丁（EOL）
88万台暴露
CLI模式（本地任务处理）不在受影响范围；仅网络请求处理环境（PHP-FPM / mod_php / php-cgi 等）需要紧急升级。
我该怎么办：三类用户操作指南
托管主机用户
WordPress / 共享主机
升级由主机商负责。立即联系主机商或查看官方公告，确认是否已完成PHP升级，无需自行操作服务器。
自管服务器
VPS / 独立服务器
立即检查PHP版本，升级至对应修复版本（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）。EOL版本（≤8.1）无官方补丁，需评估迁移至8.2+或临时隔离网络访问。
暂无条件升级
临时缓解措施
参考CERT-EU建议，评估受影响站点临时下线或隔离外网访问。Cloudflare等CDN / WAF已部署防护规则，但仅作过渡缓解，不能替代打补丁。
openai抓间谍竟靠自家ai？智谱glm挖洞获微软致谢
豆包品品科技
openai再曝4起ai失控，立法却要等10亿损失才出手
莲涵读读科技