PHP 安全团队提前放出了即将修复两个高危漏洞的消息，两个漏洞在 CVE 严重性评分中都拿到 9.2 分（满分 10 分）。

打开网易新闻 查看精彩图片

问题在于，漏洞细节似乎在官方披露之前就已经外泄。一段正在流传的视频据称演示了名为 PHP2Shell 的工具，利用这两个漏洞在 Web 服务器上远程执行代码。

PHP 在互联网上使用极广，大量网站都跑在它上面。修复补丁定于 UTC 时间下午 2 点（美国东部时间上午 10 点）发布。

安全公司 Sansec 的研究人员表示，这两个漏洞影响所有运行 PHP 5.4 或更高版本的 Web 服务器，并给出了一个不太让人安心的预判：“我们预计大规模攻击会在补丁发布后 15 分钟内开始。”

Cloudflare 首席技术官 Dane Knecht 表示，公司已经在更新针对 PHP 站点的防火墙规则。他在 X 上写道：“我们已经看到早期攻击出现，并正在随着新攻击向量的出现更新缓解措施。这仅仅是权宜之计。”他还提醒：“等 PHP 团队今天 UTC 14:00 发布更新后，尽快打补丁。”

安全公司 WatchTowr 首席执行官 Benjamin Harris 前一天对 Bleeping Computer 表示：“在过去一小时里，PHP 的两个远程代码执行漏洞被泄露了。这两个漏洞此前处于保密期，原定于周四美国东部时间上午 11 点发布。”

他补充说：“出于显而易见的原因，考虑到敏感性，我们目前无法分享技术信息，但我们可以确认这些漏洞确实是真的。两个漏洞的 CVSS 评分都是 10，据了解影响 PHP 5、6、7 和 8 版本。”

对全世界的网站管理员来说，眼下大概是一段相当紧张的时间。目前给管理员的建议包括：

  • 清点每一处 PHP 安装
  • 规划一个与更新同步的维护窗口
  • 提前备份站点和数据库文件

至于其他人，大概只能把命运交给服务器之神了。2026 年已经出现过不少手法越来越复杂的安全漏洞利用，但这一次的规模看起来比大多数都要大，严重程度也更高。