PHP 双高危 RCE 零日漏洞全球应急，NSA/FBI 罕见喊话打补丁
PHP 内核爆出两个严重未认证远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2，被称作 PHP2Shell），官方于 10 月 22 日紧急发布 8.5.12/8.4.27/8.3.36/8.2.35 修复版本。由于漏洞信息提前泄露、协调披露流程被破坏，补丁公开即意味着攻击者可逆向定位漏洞，各方以「分钟级」节奏应急，FBI 与 NSA 罕见发出近乎强制性的全球警报。
已确认
- PHP 发布四个紧急版本修复两个关联 RCE 漏洞，条件满足时未认证攻击者可在服务器上执行代码，官方呼吁立即升级（m5）。
- CVE-2026-109618 指请求恰好落在特定条件下即可触发；漏洞位于 PHP 解释器内核而非应用层（m5、m11）。
- 原本应非公开准备的修复因信息提前泄露被迫提前发布，安全企业预警修复版公开约 15 分钟内预计出现大规模攻击（m2）。
- FBI 网络部门发布全球警报，NSA 发出罕见强制性通告：无法立即更新的组织应将系统离线直至缓解（m3、m4、m10）。
- 漏洞公开后，欧洲多国政府网站与日本 pixiv、Niconico 等平台紧急下线维护（m11）。
- 据转发帖流传的数字，PHP 驱动全球约 43%–80% 的网页（不同帖子口径不一：43%、约七成、80%）。
- PHP 基金会披露，今年早些时候 Anthropic 的 Claude 曾扫描 PHP 代码库，且可用 OpenAI 的 Daybreak Red 验证漏洞利用（m8）。
尚未确认
- 「约七成/80% 网站」等受影响面数字来自转发科普帖，口径不一，官方通告中的精确比例未在材料中直接给出。
- 是否已出现在野利用：m10 推测「可能已有在野利用」，但材料中无确证。
为什么重要
- 这是罕见的「补丁未出、漏洞先泄」情形：修复代码本身即暴露漏洞位置，把通常以天计的加固窗口压缩到分钟级，被视为安全应急范式的一次压力测试。
- AI 角色引人注目：APPSO 指出 AI 一周完成过去需数月的漏洞验证；Ethan Mollick（经 m6 转述）称这是攻防以非人速度加速的可见信号。同时 teortaxesTex 调侃，若自主 agent 没趁此零门槛窗口攻陷三分之一的互联网，大家就该下调自己的 p(doom)——既是玩笑也是对 AI 风险叙事的一次现实校验。
2026-10-22 ~ 2026-10-22 · 11 条相关
- 第 1 集:AI 助力发现 PHP 严重 RCE 漏洞，全球紧急修补(2026-10-21,77 条)
- 第 2 集:研究者预测 LLM 扫 PHP 代码库或挖出数十个漏洞(2026-10-21,3 条)
- 第 3 集:PHP 远程代码执行 POC 被证实可用，利用仍有门槛(2026-10-21,2 条)
- 第 4 集:开源与云基础设施「黑色十月」：十余项目连环爆安全漏洞(2026-10-21,11 条)
- 第 5 集:PHP session.upload_progress 前鉴权 RCE 漏洞 POC 提前公开(2026-10-21,2 条)
- 第 6 集:LLM 生成虚假 PHP 漏洞 PoC 引发安全圈恐慌(2026-10-21,2 条)
- 第 7 集:PHP 8.5.12 补丁被指不完整，php2shell 漏洞仍可触发(2026-10-22,2 条)
- 第 8 集:PHP 双高危 RCE 零日漏洞全球应急，NSA/FBI 罕见喊话打补丁(2026-10-22,11 条)
- 第 9 集:PHP 高危漏洞多方撞车披露，OpenAI 与安全厂商争抢发现权(2026-10-22,2 条)
- 第 10 集:Drupal/PHP 漏洞潮爆发 安整工程师全天救火加固客户站点(2026-10-22,2 条)
一手来源
- PHP 基金会披露：Claude 曾扫描 PHP 代码，助修两个关键 RCE 漏洞 — Hesamation ·
- PHP2Shell 满分漏洞席卷全球，AI 一周完成过去数月的漏洞验证 — APPSO ·
- NSA 就 PHP 两大严重漏洞发通告:打不上补丁就先下线 — AnnaCiaunica · 2026-10-22
- PHP 高危零日漏洞（CVSS 9.2）披露在即，评论区笑谈「用去审查的本地 agent 自保」 — AIFlow_ML · 2026-10-22
- NSA 罕见紧急通告：PHP 危及 43% 网页，24 小时内不打补丁就下线 — churchkey · 2026-10-22
- PHP 严重漏洞信息提前泄露，修复版发布 15 分钟内即遭大规模攻击 — i_dg23 · 2026-10-22
- PHP 曝两个未登录 RCE 漏洞,官方呼吁先拔线下线 — eldonredwards · 2026-10-22
- FBI 全球警报:PHP 两个关键漏洞可远程执行代码,无法更新建议先下线 — denisparra · 2026-10-22
- 研究员调侃：若 agent 没借 PHP 漏洞黑掉三分之一的互联网，请更新你的 p(doom) — teortaxesTex · 2026-10-22
- 【源头】PHP2Shell 满分漏洞席卷全球，AI 一周完成过去数月的漏洞验证 — APPSO · 2026-10-22
- PHP 紧急修复两个未认证 RCE 漏洞，协调披露遭破坏 — kingslyj · 2026-10-22
- 【源头】PHP 基金会披露：Claude 曾扫描 PHP 代码，助修两个关键 RCE 漏洞 — Hesamation · 2026-10-22
- PHP 爆未修复高危漏洞,全球约七成网站陷入紧急加固窗口 — josh_bickett · 2026-10-22