PHP zero-day RCE pair triggers global patching scramble as FBI and NSA urge offline mitigation
PHP 内核爆出两个严重未认证远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2，被称作 PHP2Shell），官方于 10 月 22 日紧急发布 8.5.12/8.4.27/8.3.36/8.2.35 修复版本。由于漏洞信息提前泄露、协调披露流程被破坏，补丁公开即意味着攻击者可逆向定位漏洞，各方以「分钟级」节奏应急，FBI 与 NSA 罕见发出近乎强制性的全球警报。
已确认
- PHP 发布四个紧急版本修复两个关联 RCE 漏洞，条件满足时未认证攻击者可在服务器上执行代码，官方呼吁立即升级（m5）。
- CVE-2026-109618 指请求恰好落在特定条件下即可触发；漏洞位于 PHP 解释器内核而非应用层（m5、m11）。
- 原本应非公开准备的修复因信息提前泄露被迫提前发布，安全企业预警修复版公开约 15 分钟内预计出现大规模攻击（m2）。
- FBI 网络部门发布全球警报，NSA 发出罕见强制性通告：无法立即更新的组织应将系统离线直至缓解（m3、m4、m10）。
- 漏洞公开后，欧洲多国政府网站与日本 pixiv、Niconico 等平台紧急下线维护（m11）。
- 据转发帖流传的数字，PHP 驱动全球约 43%–80% 的网页（不同帖子口径不一：43%、约七成、80%）。
- PHP 基金会披露，今年早些时候 Anthropic 的 Claude 曾扫描 PHP 代码库，且可用 OpenAI 的 Daybreak Red 验证漏洞利用（m8）。
尚未确认
- 「约七成/80% 网站」等受影响面数字来自转发科普帖，口径不一，官方通告中的精确比例未在材料中直接给出。
- 是否已出现在野利用：m10 推测「可能已有在野利用」，但材料中无确证。
为什么重要
- 这是罕见的「补丁未出、漏洞先泄」情形：修复代码本身即暴露漏洞位置，把通常以天计的加固窗口压缩到分钟级，被视为安全应急范式的一次压力测试。
- AI 角色引人注目：APPSO 指出 AI 一周完成过去需数月的漏洞验证；Ethan Mollick（经 m6 转述）称这是攻防以非人速度加速的可见信号。同时 teortaxesTex 调侃，若自主 agent 没趁此零门槛窗口攻陷三分之一的互联网，大家就该下调自己的 p(doom)——既是玩笑也是对 AI 风险叙事的一次现实校验。
2026-10-22 ~ 2026-10-22 · 11 related posts
- Episode 1: AI-Helped Discovery of Critical PHP RCE Flaws Triggers Global Patching Effort(2026-10-21, 77 posts)
- Episode 2: Researchers Predict LLM Audits Will Uncover More PHP Vulnerabilities(2026-10-21, 3 posts)
- Episode 3: PHP RCE proof-of-concept confirmed working, but not one-click(2026-10-21, 2 posts)
- Episode 4: Black October: String of Security Breaches Hits PHP, GitLab, Node.js and More(2026-10-21, 11 posts)
- Episode 5: POC Released for Critical Pre-Auth RCE in PHP session.upload_progress(2026-10-21, 2 posts)
- Episode 6: LLM-Generated Fake PHP Exploit Sparks Security Panic(2026-10-21, 2 posts)
- Episode 7: PHP 8.5.12 Patch Incomplete: php2shell Double-Free Still Exploitable(2026-10-22, 2 posts)
- Episode 8: PHP zero-day RCE pair triggers global patching scramble as FBI and NSA urge offline mitigation(2026-10-22, 11 posts)
- Episode 9: PHP RCE vulnerability found independently by OpenAI, Calif and Wiz(2026-10-22, 2 posts)
- Episode 10: Drupal/PHP Vulnerability Surge Keeps Security Teams Busy Hardening Sites(2026-10-22, 2 posts)
Primary sources
- NSA urges PHP users to patch two critical vulnerabilities or go offline — AnnaCiaunica · 2026-10-22
- Critical PHP zero-day (CVSS 9.2) disclosure sparks AI-powered patch-race warnings and local-agent quips — AIFlow_ML · 2026-10-22
- NSA issues emergency patch-or-go-dark advisory for PHP flaw powering 43% of the web — churchkey · 2026-10-22
- Leaked PHP vulnerability forces early patch, massive attacks expected within 15 minutes — i_dg23 · 2026-10-22
- PHP critical RCE bugs leak pre-patch; agencies urge servers offline, 1.5M unpatched — eldonredwards · 2026-10-22
- FBI issues global alert on two critical PHP RCE vulnerabilities, advises taking unpatched systems offline — denisparra · 2026-10-22
- AI circle quips: update your p(doom) if agents didn't exploit the PHP emudhra bug — teortaxesTex · 2026-10-22
- [source] PHP2Shell: CVSS 9.2 PHP flaws knock governments offline as AI compresses exploit dev from months to a week — APPSO · 2026-10-22
- PHP ships emergency fixes for two unauthenticated RCE bugs after embargo break — kingslyj · 2026-10-22
- [source] PHP Foundation reveals Claude scanned PHP code, frontiers models helped find two critical RCE bugs — Hesamation · 2026-10-22
- Unpatched PHP flaw lets attackers take over servers, leaving ~70% of the web exposed — josh_bickett · 2026-10-22