PHP暴雷 引发全球反应

寂静回声

10月21日，PHP紧急发布安全更新，修补两个危险评分均为9.2的漏洞。
PHP是什么？你打开网页、提交订单、登录论坛，背后往往有它这样的软件替网站处理请求。

两个漏洞位于 PHP 内核的内存管理与错误处理环节，安全社区合称 PHP2Shell。CVE-2026-109618 是内存耗尽（OOM）时清理流程访问了未完成初始化的数据，在 Apache 加 mod_php 默认配置下，攻击者无需登录、甚至在网站业务代码运行之前就能通过一个特制请求拿到服务器控制权；CVE-2026-109619 是跨请求的释放后使用（Use-after-free），PHP-FPM 常驻工作进程复用上一个异常请求遗留的失效内存状态，可导致进程崩溃或远程代码执行。
受影响版本为 8.2.x 低于 8.2.35、8.3.x 低于 8.3.36、8.4.x 低于 8.4.27、8.5.x 低于 8.5.12，官方对应发布 8.2.35、8.3.36、8.4.27、8.5.12 四个安全版本；PHP 8.1 及更早版本（含已停更的 PHP 5、PHP 7）没有官方补丁。需要特别注意，PHP 8.2 将于 2026 年 12 月 31 日停止维护 [待核・媒体]，届时 8.2 也会进入无补丁状态。
漏洞根因已存在十余年，2024 年外部审计时已发现理论隐患但找不到利用路径，修复又因兼容性和核心维护人手不足反复搁置，PHP 基金会自己在复盘里称之为 "结构性失败"。2026 年 8 月，安全公司 Calif、OpenAI、谷歌旗下 Wiz 三方分别借助 GPT-5.6 Sol、Gemini 等大模型在约一周内证明了完整利用链，并在 WordPress、Drupal、Joomla 上验证了未认证 RCE。AI 在这里的作用是辅助专家快速构造跨请求、跨模块的复杂利用路径，而非媒体炒作的 "ChatGPT 自主发现漏洞"。




荷兰议会官网关了，荷兰网安中心把自己官网也关了（管安全的先跑），芬兰把全部对外政府服务下线，德国联邦 IT 部门关了一批网站。

Cloudflare 说已经看到真实攻击出现，防火墙规则连夜全量下发；安全公司的监测网络抓到带着 php2shell 字样的攻击在全网扫描。

全球还有约 88 万台服务器在用早就停止维护的老版 PHP，官方这次根本没给他们发补丁。
而暴露在公网上的 PHP 服务器，超过 190 万台。

用 WordPress 的也别觉得事不关己：这个洞在 PHP 引擎里，攻击在你的网站代码和安全插件运行之前就触发 — 插件再贵也挡不住，自动更新也修不了。


同一天，另一套广泛用于网站、在线服务和AI工具的基础软件Node.js，一口气修补10个漏洞。
其中一个高危漏洞出现在解压模块。网站为了传输更快，常把数据压缩后发送，由接收端再解开。可这次，刻意制作的异常数据可能让解压程序写入不该碰的内存区域。
看似只是在解压一段数据，严重时却可能演变成服务器执行恶意代码。


Node.js已发布22.23.4、24.22.1和26.12.1等修复版本。
实际风险取决于服务是否会处理受影响的数据；开发者要升级的是服务器真正运行的Node.js，而不只是表面的网站代码。


国内大量地方政务子站、高校院系站、中小企业官网、论坛和博客跑在 PHP 上，受牵连的国产系统包括帝国 CMS、织梦 DedeCMS、迅睿 CMS、蝉知、PHPCMS、极致 CMS、Discuz! 及 Discuz! Q、Z-BlogPHP、Typecho、齐博以及各类基于 ThinkPHP 的建站系统。
国家互联网应急中心发布风险提示（CNTA-2026-0006），国家信息安全漏洞共享平台（CNVD）收录为 CNVD-2026-41674、CNVD-2026-41675 并综合评级为高危，国家网络安全通报中心发布预警，工信部发布风险提示，腾讯云、阿里云均向租户发出排查通告。

传导到国内的实际风险有三类，其一是网页挂马和挖矿，攻击者拿下站点后植入暗链、勒索页面或挖矿程序，这类攻击在国内黑产里高度自动化，PoC 公开后会迅速批量扫描。其二是数据泄露，PHP 站点背后多挂 MySQL，RCE 可以直接拖库，论坛、电商、会员制站点的用户数据是重点目标。其三是等保与合规压力，党政机关、事业单位和关基行业站点若被通报挂马，将触发等保整改和追责，这会推动一部分预算释放给应急加固和技术栈迁移。

PHP 是开源免费的社区项目，没有公司能断供，也没有国别，这次事件是安全漏洞而非卡脖子，和 EUV、MATLAB、工业软件那类被断供的商业产品性质完全不同。因此不存在 "找一个国产语言一对一替换 PHP" 的药方，补丁升级是成本最低、当天就能做的根治手段。

真正有意义的 "替代" 发生在两个层面。
第一层是应用层 CMS 和技术栈迁移，适用于核心业务、等保要求高、CMS 已停更或 PHP 版本无法升级的站点。

替代JAVA，有若依 RuoYi、JeecgBoot 等国产低代码平台，配套东方通 TongWeb、宝兰德 BES 等国产应用服务器。
替代.NET，有PageAdmin 等老牌国产.NET CMS。
替代Go/Node，有国产 Go 框架 Gin、Beego，阿里系 Node 框架 Midway、Egg。但缺点是只给框架不给成品，等于从头开发，不适合纯外包运维的小站。
这次事件的本质不是 "PHP 要完"，而是全球互联网对少数免费开源基础设施的深度依赖，与这些基础设施维护资源严重不足之间的矛盾又一次集中暴露，和 Log4Shell、xz-utils 投毒是同一类问题。指望换一个国产技术栈就一劳永逸，是把安全问题降格成了采购问题，若依被报漏洞、国产组件同样需要持续打补丁就是明证。
先排查 PHP 版本，能升级的立即升级到 8.2.35、8.3.36、8.4.27、8.5.12 或更高；无法升级的 PHP 5/7 老站，临时用 WAF 拦截异常 multipart 请求并限制公网 cgi 入口，同时列入下线或迁移计划，不要把临时措施当根治；政务和高安全站点借这次窗口期把停更 CMS 向 Java 信创栈或静态化改造迁移。需要持续监控的信号包括：CNCERT 是否发布国内受感染案例通报、云厂商是否封禁到规模化攻击 IP、是否出现基于该漏洞的蠕虫或勒索投送、PHP 基金会是否扩充安全维护资源，以及 12 月 31 日 PHP 8.2 停更后国内存量站的跟进情况。